Next.js CVE-2025-55182 バージョン混乱の再現

このリポジトリは、Next.js 16.0.7+ におけるバージョン文字列の不一致を示すもので、CVE-2025-55182 のパッチ適用状況を確認する際に混乱を引き起こします。

問題

Next.js 16.0.8 にアップグレードした後、React バージョンを確認するユーザーは、React DevTools に 19.3.0-canary-52684925-20251110 と表示され、これは古い脆弱性のあるバージョンのように見えます。しかし、実際の CVE 修正は react-server-dom-* パッケージに存在しています。

再現手順

1. 依存関係をインストールします:

   root@kitploit:~

   npm install
   

2. バージョン確認スクリプトを実行します:

   root@kitploit:~

   npm run check-versions
   

3. または、開発サーバーを起動して React DevTools を確認します:

   root@kitploit:~

   npm run dev
   

   その後、DevTools コンソールを開いて次を実行します:

   root@kitploit:~

   __REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]