fix-react2shell-next

1つのコマンドで、Next.js / React RSC アプリにおける CVE-2025-66478（React 2 Shell RCE）を修正します。

npx fix-react2shell-next

公式アドバイザリに従った決定論的なバージョンアップです。

機能

1. 再帰的に すべての package.json ファイルをスキャンします（モノレポ対応）
2. 脆弱なバージョンをチェック 対象:
   • next
   • react-server-dom-webpack
   • react-server-dom-parcel
   • react-server-dom-turbopack
3. 現在のバージョンに基づき、正しい修正バージョンにパッチを適用します
4. 検出したパッケージマネージャーで ロックファイルを更新します

影響を受けるバージョン

Next.js

React RSC パッケージ

使い方

確認と修正（対話形式）

npx fix-react2shell-next

自動修正（CI / 非対話形式）

npx fix-react2shell-next --fix

確認のみ（ドライラン）

npx fix-react2shell-next --dry-run

JSON 出力（スクリプト用）

npx fix-react2shell-next --json

出力例

🔍 fix-react2shell-next - CVE-2025-66478 脆弱性スキャナー

📂 3 個の package.json ファイルを検出しました

🚨 2 個の脆弱なファイルを検出しました：

  📄 package.json
     next: ^15.1.0 → 15.1.9

  📄 apps/web/package.json
     next: ^15.4.3 → 15.4.8
     react-server-dom-webpack: 19.1.0 → 19.1.2

🔧 修正を適用しますか？ [Y/n] y

🔧 修正を適用中...

   ✓ package.json を更新しました
   ✓ apps/web/package.json を更新しました

📦 パッケージマネージャー: pnpm
🔄 ロックファイルを更新中...

$ pnpm install

✅ パッチが適用されました！
   アプリをテストし、変更をコミットすることを忘れないでください。

モノレポ対応

このツールはプロジェクト内のすべての package.json ファイルを自動的に検出します。以下のディレクトリは除外されます:

• node_modules
• .next、.turbo、.vercel、.nuxt
• dist、build、.output
• coverage

npm、yarn、pnpm、bun のワークスペースで動作します。

参考情報

• GitHub アドバイザリ GHSA-9qr9-h5gf-34mp
• Next.js セキュリティアドバイザリ
• React セキュリティアドバイザリ

ライセンス

MIT