Next.js CVE-2025-55182 Воспроизведение путаницы версий

Этот репозиторий демонстрирует расхождение строки версии в Next.js 16.0.7+, которое вызывает путаницу при проверке статуса исправления CVE-2025-55182.

Суть проблемы

После обновления до Next.js 16.0.8 пользователи, проверяющие версию React, видят 19.3.0-canary-52684925-20251110 в React DevTools, что выглядит как СТАРАЯ уязвимая версия. Однако само исправление CVE присутствует в пакетах react-server-dom-*.

Как воспроизвести

1. Установите зависимости:

   root@kitploit:~

   npm install
   

2. Запустите скрипт проверки версий:

   root@kitploit:~

   npm run check-versions
   

3. Или запустите dev-сервер и проверьте React DevTools:

   root@kitploit:~

   npm run dev
   

   Затем откройте консоль DevTools и выполните:

   root@kitploit:~

   __REACT_DEVTOOLS_GLOBAL_HOOK__.renderers.values().next()["value"]["version"]
   

Ожидаемый результат

Скрипт check-versions покажет:

• react-server-dom-turbopack использует 19.3.0-canary-709fe18f-20251202 ✅ (исправлено)
• react-server-dom-webpack использует 19.3.0-canary-709fe18f-20251202 ✅ (исправлено)
• react-dom экспортирует версию 19.3.0-canary-52684925-20251110 ⚠️ (старая строка)
• react экспортирует версию 19.3.0-canary-52684925-20251110 ⚠️ (старая строка)

Исправление безопасности (hasOwnProperty.call(moduleExports, metadata[2])) присутствует, но строки версий не согласованы.

Почему это важно

Команды безопасности и разработчики, проверяющие устранение CVE-2025-55182, увидят старую строку версии и ошибочно решат, что их системы всё ещё уязвимы. Это создаёт излишнюю путаницу и потенциальные ложные срабатывания в аудитах безопасности.