fix-react2shell

React Server Components および Next.js アプリケーションにおける重大な CVE-2025-55182（React2Shell）脆弱性を検出・修正するための CLI ツールです。

脆弱性について

CVE-2025-55182 は、以下に影響を与える重大（CVSS 10.0）な未認証リモートコード実行（RCE）の脆弱性です：

• React Server DOM パッケージ（バージョン 19.0.0、19.1.0、19.1.1、19.2.0）
• Next.js（バージョン 14.3.0-canary.77 から、パッチ未適用の 15.x および 16.x まで）

この脆弱性は、React Server Components の Flight プロトコルにおける安全でない逆シリアル化（unsafe deserialization）の欠陥です。悪用には細工した HTTP リクエストを送信するだけでよく、公開されたエクスプロイトコードも存在します。

回避策はありません — パッチ適用済みバージョンへのアップグレードが必要です。

詳細情報

• React 公式セキュリティアドバイザリ
• Next.js セキュリティアドバイザリ
• Vercel の概要

インストール

オプション 1: npx で直接実行

npx @amirmalek/fix-react2shell

オプション 2: このリポジトリをクローン

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

オプション 3: スクリプトをダウンロード

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

使用方法

React/Next.js プロジェクトのディレクトリに移動して実行します：

# Dry-run mode (default) - shows what would be upgraded
npx @amirmalek/fix-react2shell

# Actually perform the upgrades
npx @amirmalek/fix-react2shell --fix

# Show detailed version information
npx @amirmalek/fix-react2shell --verbose

# Show help
npx @amirmalek/fix-react2shell --help

出力例

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

特徴

• スマートな検出 — 実際に脆弱なバージョンのみを検出し、React 19 のすべてのプロジェクトにフラグを立てるわけではありません
• マルチパッケージマネージャー対応 — npm、yarn、pnpm を自動的に検出して使用します
• デフォルトで安全 — --fix が明示的に指定されない限り、ドライラン（dry-run）モードで実行されます
• 依存関係ゼロ — Node.js の組み込みモジュールのみを使用します
• ポータブル — 任意のプロジェクトディレクトリで動作します

脆弱なバージョン

React Server DOM パッケージ

Next.js

アップグレード後

バージョンをパッチ適用し、アプリケーションを再デプロイしたら、以下を強く推奨します：

1. すべてのアプリケーションシークレットをローテーションする（APIキー、データベース認証情報、JWT シークレットなど）
2. 以前に悪用された形跡がないかアプリケーションログを確認する
3. 侵害を疑う場合はインフラストラクチャを監査する

ライセンス

MIT

コントリビューション

Issue およびプルリクエストは github.com/amir-malek/react-cve-2025-55182 で歓迎します。