Automazione PR di Sicurezza per React Server Components

Questo repository fornisce uno script per aggiornare automaticamente e creare pull request (PR) per repository affetti da CVE-2025-55182, che colpisce le versioni vulnerabili di react-server-dom-* e pacchetti React correlati.

Cosa fa questo strumento?

• Scansiona le versioni vulnerabili di react-server-dom-*, react, react-dom e next nel file package.json di un repository.
• Le aggiorna a versioni sicure e risolte, se necessario.
• Crea una PR nel repository di destinazione con le dipendenze aggiornate.
• Supporta sia repository diretti che fork.

Perché è necessario?

Una vulnerabilità di sicurezza critica (CVE-2025-55182) è stata divulgata nei React Server Components e nei pacchetti correlati. Per aiutare i manutentori OSS e i team a correggere rapidamente e in sicurezza i propri progetti, questo script automatizza il processo di aggiornamento e creazione delle PR.

Pacchetti supportati e correzioni

• react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack → Aggiornato a 19.2.1
• react, react-dom → Aggiornato a 19.2.1
• next:
  • Se si utilizza la canary 14.3.0-canary.77 o superiore, aggiorna a 14.1.4
  • 15.x/16.x aggiorna all'ultima versione corretta (16.0.7)

Utilizzo

1. Prerequisiti

• Node.js >= 18
• Un personal access token di GitHub (classico o granulare) con permessi repo.
• Octokit (SDK per le API di GitHub per Node.js).

2. Configurazione ed esecuzione

1. Installa le dipendenze:

   root@kitploit:~

   npm install
   

2. Imposta il tuo GITHUB_TOKEN come variabile d'ambiente:

   root@kitploit:~

   export GITHUB_TOKEN=your_token_here
   

3. Modifica l'array repoUrls in index.ts per elencare i repository GitHub che desideri correggere.

4. Esegui il flusso di lavoro principale:

   root@kitploit:~

   npm run dev
   

3. Cosa succede dopo?

• Lo script scansiona ogni repository elencato per individuare dipendenze React vulnerabili.
• Se sono necessari aggiornamenti:
  • Crea un nuovo branch.
  • Committa il package.json corretto.
  • Apre una pull request con un messaggio descrittivo e un link alla divulgazione della CVE.

Esempio

Consulta la funzione main() in index.ts per vedere come configurare l'elenco dei repository ed eseguire il processo.

---

⚠️ Avvertenza

• Rivedi e testa sempre le PR risultanti prima di unirle, specialmente se hai configurazioni personalizzate o uso non standard delle dipendenze.
• Questo script aggiorna solo le versioni fissate nel package.json radice (i monorepo potrebbero richiedere personalizzazioni).
• Se incontri limiti di frequenza o problemi di autorizzazione, controlla i permessi del tuo token GitHub.

---

Riferimenti

• Post sul blog sulla sicurezza di React
• Dettagli CVE-2025-55182
• Documentazione Octokit REST.js
• npm audit
• Come funzionano gli intervalli di versione NPM

---

Licenza

Licenza MIT

---

Per domande o contributi, apri un issue o una PR!