fix-react2shell

Uma ferramenta CLI para detectar e corrigir a vulnerabilidade crítica CVE-2025-55182 (React2Shell) em React Server Components e aplicações Next.js.

A Vulnerabilidade

CVE-2025-55182 é uma vulnerabilidade crítica (CVSS 10.0) de execução remota de código não autenticada que afeta:

• Pacotes React Server DOM (versões 19.0.0, 19.1.0, 19.1.1, 19.2.0)
• Next.js (versões 14.3.0-canary.77 até 15.x e 16.x sem correção)

A vulnerabilidade é uma falha de desserialização insegura no protocolo Flight do React Server Components. A exploração requer apenas uma requisição HTTP maliciosa, e código de exploração público está disponível.

Não há solução alternativa — é necessário atualizar para uma versão corrigida.

Mais Informações

• Comunicado Oficial do React
• Comunicado de Segurança do Next.js
• Resumo da Vercel

Instalação

Opção 1: Executar diretamente com npx

npx @amirmalek/fix-react2shell

Opção 2: Clonar este repositório

git clone https://github.com/amir-malek/react-cve-2025-55182.git
cd react-cve-2025-55182
node fix-react2shell.js

Opção 3: Baixar o script

curl -O https://raw.githubusercontent.com/amir-malek/react-cve-2025-55182/main/fix-react2shell.js
node fix-react2shell.js

Uso

Navegue até o diretório do seu projeto React/Next.js e execute:

# Dry-run mode (default) - shows what would be upgraded
npx @amirmalek/fix-react2shell

# Actually perform the upgrades
npx @amirmalek/fix-react2shell --fix

# Show detailed version information
npx @amirmalek/fix-react2shell --verbose

# Show help
npx @amirmalek/fix-react2shell --help

Exemplo de Saída

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-55182 (React2Shell) Vulnerability Scanner    ║
╚══════════════════════════════════════════════════════════════╝

Package manager: yarn
Project: my-nextjs-app

⚠ Found 1 vulnerable package(s):

  ✗ next
    Current: 15.3.5 → Safe: 15.3.7

────────────────────────────────────────────────────────────
DRY RUN MODE - No changes made.
Run with --fix to upgrade packages.

Command that would be run:
  yarn add [email protected]

Funcionalidades

• Detecção Inteligente — Sinaliza apenas versões realmente vulneráveis, não todos os projetos React 19
• Suporte a Múltiplos Gerenciadores de Pacotes — Detecta e usa automaticamente npm, yarn ou pnpm
• Seguro por Padrão — Executa em modo simulação a menos que --fix seja explicitamente passado
• Zero Dependências — Usa apenas módulos nativos do Node.js
• Portátil — Funciona em qualquer diretório de projeto

Versões Vulneráveis

Pacotes React Server DOM

Next.js

Após a Atualização

Depois de corrigir suas versões e reimplantar sua aplicação, é fortemente recomendado:

1. Rotacionar todos os segredos da aplicação (chaves de API, credenciais de banco de dados, segredos JWT, etc.)
2. Revisar os logs da aplicação para qualquer sinal de exploração anterior
3. Auditar sua infraestrutura se suspeitar de comprometimento

Licença

MIT

Contribuição

Issues e pull requests são bem-vindos em github.com/amir-malek/react-cve-2025-55182