Next.js CVE-2025-55182 버전 혼동 재현

이 저장소는 CVE-2025-55182 패치 상태를 확인할 때 혼동을 일으키는 Next.js 16.0.7+의 버전 문자열 불일치를 보여줍니다.

문제

Next.js 16.0.8로 업그레이드한 후 사용자가 React 버전을 확인하면 React DevTools에 19.3.0-canary-52684925-20251110이 표시되는데, 이는 이전의 취약한 버전처럼 보입니다. 그러나 실제 CVE 수정은 react-server-dom-* 패키지에 존재합니다.

재현 방법

1. 의존성 설치:

   root@kitploit:~

   npm install
   

2. 버전 확인 스크립트 실행:

   root@kitploit:~

   npm run check-versions
   

3. 또는 개발 서버를 시작하고 React DevTools 확인:

   root@kitploit:~

   npm run dev
   

   그런 다음 DevTools 콘솔을 열고 다음을 실행:

   root@kitploit:~

   __REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]
   

예상 출력

check-versions 스크립트는 다음을 표시합니다:

• react-server-dom-turbopack은(는) 19.3.0-canary-709fe18f-20251202 사용 ✅ (수정됨)
• react-server-dom-webpack은(는) 19.3.0-canary-709fe18f-20251202 사용 ✅ (수정됨)
• react-dom은(는) 버전 19.3.0-canary-52684925-20251110 내보냄 ⚠️ (이전 문자열)
• react은(는) 버전 19.3.0-canary-52684925-20251110 내보냄 ⚠️ (이전 문자열)

보안 수정(hasOwnProperty.call(moduleExports, metadata[2]))은 존재하지만 버전 문자열이 일치하지 않습니다.

중요한 이유

CVE-2025-55182 조치를 확인하는 보안 팀과 개발자는 이전 버전 문자열을 보고 시스템이 여전히 취약하다고 잘못 판단할 수 있습니다. 이로 인해 불필요한 혼란과 보안 감사에서의 잠재적 오경보가 발생합니다.