React Server Components 보안 PR 자동화

이 저장소는 CVE-2025-55182에 영향을 받는 저장소의 react-server-dom-* 및 관련 React 패키지의 버전을 자동으로 업데이트하고 풀 리퀘스트(PR)를 생성**하는 스크립트를 제공합니다.

이 도구는 무엇을 하나요?

• 저장소의 package.json에서 영향을 받는 react-server-dom-*, react, react-dom, next 버전을 검사합니다.
• 필요한 경우 안전한 수정 버전으로 업데이트합니다.
• 대상 저장소에 업데이트된 종속성으로 PR을 생성합니다.
• 직접 저장소와 포크 모두 지원합니다.

왜 필요한가요?

React Server Components 및 관련 패키지에서 심각한 보안 취약점(CVE-2025-55182)이 공개되었습니다. OSS 유지관리자와 팀이 프로젝트를 빠르고 안전하게 패치할 수 있도록 이 스크립트는 업그레이드 및 PR 생성 과정을 자동화합니다.

지원되는 패키지 및 수정 버전

• react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack → 19.2.1로 업그레이드
• react, react-dom → 19.2.1로 업그레이드
• next:
  • canary 14.3.0-canary.77 이상을 사용 중인 경우 14.1.4로 업데이트
  • 15.x/16.x는 최신 패치 버전(16.0.7)으로 업그레이드

사용법

1. 사전 요구사항

• Node.js >= 18
• repo 권한이 있는 GitHub 개인 액세스 토큰 (클래식 또는 세분화된 토큰)
• Octokit (Node.js용 GitHub API SDK)

2. 설정 및 실행

1. 종속성 설치:

   root@kitploit:~

   npm install
   

2. GITHUB_TOKEN을 환경 변수로 설정:

   root@kitploit:~

   export GITHUB_TOKEN=your_token_here
   

3. index.ts의 repoUrls 배열을 편집하여 패치할 GitHub 저장소를 나열합니다.

4. 기본 워크플로우 실행:

   root@kitploit:~

   npm run dev
   

3. 그 다음은 어떻게 되나요?

• 스크립트는 나열된 각 저장소에서 취약한 React 관련 종속성을 검사합니다.
• 업그레이드가 필요한 경우:
  • 새 브랜치를 생성합니다.
  • 수정된 package.json을 커밋합니다.
  • 설명 메시지와 CVE 공개 링크가 포함된 풀 리퀘스트를 엽니다.

예시

저장소 목록을 구성하고 프로세스를 실행하는 방법은 index.ts의 main() 함수를 참조하세요.

---

⚠️ 면책 조항

• 병합하기 전에 항상 결과 PR을 검토하고 테스트하세요. 특히 사용자 정의 구성이나 비표준 종속성 사용이 있는 경우 더욱 주의하세요.
• 이 스크립트는 루트 package.json의 고정 버전만 업데이트합니다(모노레포는 사용자 정의가 필요할 수 있음).
• 속도 제한이나 권한 문제가 발생하면 GitHub 토큰 권한을 확인하세요.

---

참고 자료

• React 보안 블로그 게시글
• CVE-2025-55182 상세정보
• Octokit REST.js 문서
• npm audit
• NPM 버전 범위 작동 방식

---

라이선스

MIT License

---

질문이나 기여가 있으시면 이슈나 PR을 열어주세요!