cve-2025-55182-mitigator

CVE-2025-55182（React Server Components / Flight プロトコルの安全でないデシリアライゼーション）用の防御スキャナー + 緩和ガイダンスです。

このツールは以下のことを支援することを目的としています：

• 依存関係のバージョンに基づいて脆弱性の可能性が高いリポジトリを特定する
• 確定的な緩和策（パッチ/アップグレード） ターゲットを迅速に適用する

重要

• 即時のパッチ適用が唯一の確定的な緩和策です。
• このツールは悪用可能性を証明できません。バージョンヒューリスティックとリポジトリシグナルを使用します。
• 侵害が疑われる場合は、インシデント対応プロセスに従ってください。

アップグレードターゲット（確定的な緩和策）

2025年12月のガイダンスより：

• React: 19.0.1 または 19.1.2 または 19.2.1
• Next.js: 16.0.7 または 15.5.7 または 15.4.8 または 15.3.6 または 15.2.6 または 15.1.9 または 15.0.5

インストール

このリポジトリから：

npm install

Node経由で実行：

node cli.js scan .

またはグローバルインストール：

npm install -g .
cve-2025-55182 scan .

使用法

リポジトリをスキャン

cve-2025-55182 scan /path/to/repo

JSON出力：

cve-2025-55182 scan /path/to/repo --json

CIフレンドリーな終了コード：

cve-2025-55182 scan /path/to/repo --fail-on-vulnerable

• 脆弱性の可能性が高い場合は 2 で終了
• フラグがない場合は 0 で終了
• エラーの場合は 1 で終了

緩和ターゲットを表示

cve-2025-55182 help-mitigate

オプションの強化スニペットを生成

これらはパッチ適用の代替にはなりません。

cve-2025-55182 generate --express
cve-2025-55182 generate --nginx

チェック内容

• next、react、react-dom、react-server の package.json 依存関係範囲
• 解決されたバージョンを見つけるためのロックファイル：
  • package-lock.json
  • pnpm-lock.yaml
  • yarn.lock

ライセンス

MIT