fix-react2shell

CLI-инструмент для обнаружения и устранения критической уязвимости CVE-2025-55182 (React2Shell) в React Server Components и приложениях Next.js.

Уязвимость

CVE-2025-55182 — это критическая (CVSS 10.0) уязвимость удалённого выполнения кода без аутентификации, затрагивающая:

пакеты React Server DOM (версии 19.0.0, 19.1.0, 19.1.1, 19.2.0)
Next.js (версии с 14.3.0-canary.77 до неисправленных 15.x и 16.x)

Уязвимость представляет собой небезопасную десериализацию в протоколе Flight компонентов React Server Components. Для эксплуатации достаточно специально сформированного HTTP-запроса, а публичный эксплойт уже доступен.

Обходного пути нет — требуется обновление до исправленной версии.

Пакет	Уязвимые версии	Безопасные версии
`react-server-dom-webpack`	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1
`react-server-dom-parcel`	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1
`react-server-dom-turbopack`	19.0.0, 19.1.0, 19.1.1, 19.2.0	19.0.1, 19.1.2, 19.2.1

Ветка	Безопасная версия
15.0.x	15.0.5
15.1.x	15.1.9
15.2.x	15.2.6
15.3.x	15.3.6
15.4.x	15.4.8
15.5.x	15.5.7
16.0.x	16.0.7

react-cve-2025-55182

Популярное

Вариант 2: Клонирование репозитория

Вариант 3: Загрузка скрипта

Использование

Пример вывода

Возможности

Уязвимые версии

Пакеты React Server DOM

Next.js

После обновления

Лицензия

Участие в разработке