React Server Components セキュリティ PR 自動化

このリポジトリは、CVE-2025-55182 の影響を受けるリポジトリに対して、脆弱なバージョンの react-server-dom-* および関連する React パッケージを自動的にアップグレードし、プルリクエスト (PR) を作成するスクリプトを提供します。

このツールの機能

• リポジトリの package.json から影響を受ける react-server-dom-*、react、react-dom、next のバージョンをスキャンします。
• 必要に応じて、それらを安全で修正済みのバージョンにアップグレードします。
• 更新された依存関係を含む PR をターゲットリポジトリに作成します。
• 直接のリポジトリとフォークの両方をサポートします。

なぜこれが必要なのか

React Server Components および関連パッケージにおいて、重大なセキュリティ脆弱性 (CVE-2025-55182) が公開されました。OSS メンテナやチームがプロジェクトを迅速かつ安全に修正できるよう、このスクリプトはアップグレードと PR 作成のプロセスを自動化します。

対応パッケージと修正内容

• react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack → 19.2.1 にアップグレード
• react、react-dom → 19.2.1 にアップグレード
• next:
  • canary バージョン 14.3.0-canary.77 以上を使用している場合、14.1.4 にアップグレード
  • 15.x/16.x は最新の修正版 (16.0.7) にアップグレード

使用方法

1. 前提条件

• Node.js >= 18
• repo 権限を持つ GitHub 個人アクセストークン (クラシックまたはファイングレイン)
• Octokit (Node.js 用 GitHub API SDK)

2. 設定と実行

1. 依存関係をインストール:

   root@kitploit:~

   npm install
   

2. 環境変数として GITHUB_TOKEN を設定:

   root@kitploit:~

   export GITHUB_TOKEN=your_token_here
   

3. index.ts 内の repoUrls 配列を編集し、修正したい GitHub リポジトリを列挙します。

4. メインワークフローを実行:

   root@kitploit:~

   npm run dev
   

3. その後の流れ

• スクリプトは、リストされた各リポジトリをスキャンして脆弱な React 関連の依存関係を確認します。
• アップグレードが必要な場合、以下の処理を行います:
  • 新しいブランチを作成。
  • 修正された package.json をコミット。
  • 説明メッセージと CVE 公開へのリンクを含むプルリクエストを作成。

例

リポジトリのリストの設定方法とプロセスの実行方法については、index.ts の main() 関数を参照してください。

---

⚠️ 免責事項

• マージ前には必ず結果の PR を確認およびテストしてください。特にカスタム設定や標準外の依存関係使用がある場合は注意が必要です。
• このスクリプトはルートの package.json の固定バージョンのみをアップグレードします（モノレポではカスタマイズが必要な場合があります）。
• レート制限や権限の問題が発生した場合は、GitHub トークンの権限を確認してください。

---

参考

• React セキュリティブログ記事
• CVE-2025-55182 詳細
• Octokit REST.js ドキュメント
• npm audit
• NPM バージョン範囲の仕組み

---

ライセンス

MIT ライセンス

---

質問や貢献については、Issue または PR を開いてください！