Автоматизация PR для устранения уязвимости React Server Components

Этот репозиторий содержит скрипт для автоматического обновления версий и создания pull request (PR) для репозиториев, затронутых CVE-2025-55182, которая затрагивает уязвимые версии react-server-dom-* и связанных пакетов React.

Что делает этот инструмент?

Сканирует затронутые версии react-server-dom-*, react, react-dom и next в package.json репозитория.
Обновляет их до защищённых, исправленных версий, если это необходимо.
Создаёт PR в целевом репозитории с обновлёнными зависимостями.
Поддерживает как прямые репозитории, так и форки.

Зачем это нужно?

Критическая уязвимость (CVE-2025-55182) была раскрыта в React Server Components и связанных пакетах. Чтобы помочь мейнтейнерам OSS и командам быстро и безопасно исправить свои проекты, этот скрипт автоматизирует процесс обновления и создания PR.

Поддерживаемые пакеты и исправления

react-server-dom-webpack, react-server-dom-parcel, react-server-dom-turbopack → Обновлено до 19.2.1
react, react-dom → Обновлено до 19.2.1
next:
- Если используется canary 14.3.0-canary.77 или выше, обновляется до 14.1.4
- 15.x/16.x обновляются до последней исправленной версии (16.0.7)

Использование

1. Предварительные требования

Node.js >= 18
Персональный токен доступа GitHub personal access token (классический или fine-grained) с разрешениями repo.
Octokit (SDK для GitHub API на Node.js).

2. Настройка и запуск

Установите зависимости:
```
npm install
```
Установите переменную окружения GITHUB_TOKEN:
```
export GITHUB_TOKEN=your_token_here
```
Отредактируйте массив repoUrls в index.ts, указав репозитории GitHub, которые вы хотите исправить.
Запустите основной рабочий процесс:
```
npm run dev
```

3. Что происходит дальше?

Скрипт сканирует каждый указанный репозиторий на наличие уязвимых зависимостей, связанных с React.
Если требуется обновление, он:
- Создаёт новую ветку.
- Фиксирует исправленный package.json.
- Открывает pull request с описательным сообщением и ссылкой на раскрытие CVE.

Пример

Смотрите функцию main() в index.ts, чтобы узнать, как настроить список репозиториев и запустить процесс.

⚠️ Отказ от ответственности

Всегда проверяйте и тестируйте полученные PR перед слиянием, особенно если у вас есть пользовательская конфигурация или нестандартное использование зависимостей.
Этот скрипт обновляет только зафиксированные версии в корневом package.json (для монорепозиториев может потребоваться настройка).
Если вы столкнулись с ограничениями по частоте запросов или проблемами с разрешениями, проверьте разрешения вашего GitHub токена.

Ссылки

Лицензия

Лицензия MIT

Если у вас есть вопросы или вы хотите внести вклад, откройте issue или PR!

react-CVE-2025-55182-fixer

Популярное