nextjs-security-update

新たなNext.jsの脆弱性を悪用するOSSツールを開発する人々がいます。これは対抗するためのツールです。すべてのNext.jsアプリを、すべてのGitHubアカウントにわたって極めて簡単にアップグレードできます。

内部では公式Vercel修正ツールを使用しています。

何が起きたか

2025年12月11日：Next.jsは、App Routerを使用するReact Server Componentsに影響する複数の重大な脆弱性を開示しました。

• CVE-2025-66478 (RCE)
• CVE-2025-55183 (Source Code Exposure)
• CVE-2025-55184 (DoS)
• CVE-2025-67779 (Complete DoS Fix)

https://nextjs.org/blog/cve-2025-55183-and-cve-2025-55184

このツールの機能

1. すべてのGitHubアカウント（個人＋組織）を発見します
2. スキャンするアカウントを選択できます
3. すべてのNext.jsリポジトリを検出します
4. 各リポジトリに対して公式Vercel修正ツールを実行します（モノレポ、React RSCパッケージ、ロックファイルに対応）
5. ローカルにコミットします（準備ができたらプッシュします）

使用方法

curl -O https://raw.githubusercontent.com/williavs/nextjs-security-update/main/nextjs-security-update.sh
chmod +x nextjs-security-update.sh
./nextjs-security-update.sh

またはアカウントを直接指定：

./nextjs-security-update.sh myusername myorg

オプション

DRY_RUN=true ./nextjs-security-update.sh    # See what would change
AUTO_PUSH=true ./nextjs-security-update.sh  # Push automatically

必要条件

• gh (GitHub CLI) - 認証済みであること
• node / npx
• git

実行後

すべての変更をプッシュ：

cd ~/nextjs-security-updates
for d in */; do (cd "$d" && git push && echo "Pushed $d"); done

その後、アプリを再デプロイしてください。