Автоматический патчер CVE Next.js

Инструмент автоматизации, написанный на Go, для сканирования репозиториев GitHub, обнаружения уязвимых версий Next.js (CVE-2025-66478) и автоматического создания Pull Request с соответствующим исправлением безопасности.

📋 Предварительные требования

Убедитесь, что у вас установлено и настроено следующее:

1. Go (версия 1.20 или выше)
2. Git (с настроенными SSH-ключами, загруженными в агент)
3. GitHub CLI (gh)

Аутентификация

Перед запуском инструмента необходимо аутентифицироваться в GitHub CLI:

gh auth login
# Select "SSH" as git protocol and "GitHub.com"

🚀 Настройка и установка

1. Клонируйте этот репозиторий (туда, где вы сохранили скрипт main.go):

   root@kitploit:~

   git clone <your-tools-repo-url>
   cd auto-patcher
   

2. Установите зависимости Go: Нам понадобится библиотека semver для интеллектуального сравнения версий.

   root@kitploit:~

   go get github.com/Masterminds/semver/v3
   go mod tidy
   

⚙️ Конфигурация

В настоящее время конфигурация задаётся непосредственно в константах файла main.go. Перед запуском проверьте эти строки:

• Список целевых репозиториев: В функции main отредактируйте команду gh, если хотите ограничить поиск конкретной организацией или пользователем:
  root@kitploit:~

  // main.go
  cmd := exec.Command("gh", "repo", "list", "YOUR_ORG_OR_USER", "--limit", "100", ...)
  

• Сообщения PR:
  root@kitploit:~

  const (
      TargetBranch = "fix/security-nextjs-cve"
      PRTitle      = "fix(deps): upgrade next.js to patch CVE-2025-66478"
  )
  

▶️ Использование

Просто запустите основной скрипт:

go run main.go

Порядок выполнения:

1. Получает список репозиториев с помощью gh repo list.
2. Клонирует каждый репозиторий во временную папку (/tmp/repo-fixer-*).
3. Рекурсивно ищет файлы package.json.
4. Сравнивает версию next с таблицей правил безопасности (SemVer).
5. Если уязвимость обнаружена, изменяет package.json, устанавливая минимальную требуемую безопасную версию.
6. Создаёт ветку, выполняет коммит, отправляет изменения и открывает Pull Request.

⚠️ Логика исправления (CVE-2025-66478)

Скрипт применяет строгие правила, чтобы избежать нарушения совместимости (не обновляется до последней версии, а только до безопасного патча вашей минорной версии):

Полный список см. в nextJsRules в main.go.