Riproduzione della Confusione di Versione CVE-2025-55182 in Next.js

Questo repository dimostra la discrepanza nella stringa di versione in Next.js 16.0.7+ che causa confusione durante la verifica dello stato della patch CVE-2025-55182.

Il Problema

Dopo l'aggiornamento a Next.js 16.0.8, gli utenti che controllano la propria versione di React vedono 19.3.0-canary-52684925-20251110 in React DevTools, che sembra essere la VECCHIA versione vulnerabile. Tuttavia, la correzione della CVE è effettivamente presente nei pacchetti react-server-dom-*.

Per Riprodurre

1. Installare le dipendenze:

   root@kitploit:~

   npm install
   

2. Eseguire lo script di controllo versioni:

   root@kitploit:~

   npm run check-versions
   

3. Oppure avviare il server di sviluppo e controllare React DevTools:

   root@kitploit:~

   npm run dev
   

   Quindi aprire la console di DevTools ed eseguire:

   root@kitploit:~

   __REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]
   

Output Atteso

Lo script check-versions mostrerà:

• react-server-dom-turbopack usa 19.3.0-canary-709fe18f-20251202 ✅ (corretto)
• react-server-dom-webpack usa 19.3.0-canary-709fe18f-20251202 ✅ (corretto)
• react-dom esporta la versione 19.3.0-canary-52684925-20251110 ⚠️ (vecchia stringa)
• react esporta la versione 19.3.0-canary-52684925-20251110 ⚠️ (vecchia stringa)

La correzione di sicurezza (hasOwnProperty.call(moduleExports, metadata[2])) È presente, ma le stringhe di versione sono inconsistenti.

Perché È Importante

I team di sicurezza e gli sviluppatori che verificano la correzione di CVE-2025-55182 vedranno la vecchia stringa di versione e crederanno erroneamente che i loro sistemi siano ancora vulnerabili. Questo crea confusione inutile e potenziali falsi allarmi nei audit di sicurezza.