cve-2025-55182-mitigator

Оборонительный сканер + рекомендации по смягчению для CVE-2025-55182 (небезопасная десериализация React Server Components / протокола Flight).

Этот инструмент предназначен для:

• выявления репозиториев, которые вероятно уязвимы, на основе версий зависимостей
• быстрого применения окончательных целей смягчения (патч/обновление)

Важно

• Немедленное применение патча — единственное окончательное смягчение.
• Этот инструмент не может доказать эксплуатируемость. Он использует эвристику версий и сигналы репозитория.
• Если вы подозреваете компрометацию, следуйте своему процессу реагирования на инциденты.

Цели обновления (окончательное смягчение)

В соответствии с рекомендациями декабря 2025 года:

• React: 19.0.1 или 19.1.2 или 19.2.1
• Next.js: 16.0.7 или 15.5.7 или 15.4.8 или 15.3.6 или 15.2.6 или 15.1.9 или 15.0.5

Установка

Из этого репозитория:

npm install

Запуск через Node:

node cli.js scan .

Или глобальная установка:

npm install -g .
cve-2025-55182 scan .

Использование

Сканирование репозитория

cve-2025-55182 scan /path/to/repo

Вывод в JSON:

cve-2025-55182 scan /path/to/repo --json

Код выхода, удобный для CI:

cve-2025-55182 scan /path/to/repo --fail-on-vulnerable

• завершается кодом 2, если вероятна уязвимость
• завершается кодом 0, если флагов не обнаружено
• завершается кодом 1 при ошибках

Вывод целей смягчения

cve-2025-55182 help-mitigate

Генерация опциональных фрагментов повышения безопасности

Они не заменяют применение патча.

cve-2025-55182 generate --express
cve-2025-55182 generate --nginx

Что проверяется

• Диапазоны зависимостей в package.json для next, react, react-dom, react-server
• Файлы блокировок для определения разрешённых версий:
  • package-lock.json
  • pnpm-lock.yaml
  • yarn.lock

Лицензия

MIT