fix-react2shell-next

Одна команда для исправления CVE-2025-66478 (React 2 Shell RCE) в вашем приложении Next.js / React RSC.

npx fix-react2shell-next

Детерминированные обновления версий согласно официальным уведомлениям о безопасности.

Что делает

1. Рекурсивно сканирует все файлы package.json (поддерживает монорепозитории)
2. Проверяет наличие уязвимых версий:
   • next
   • react-server-dom-webpack
   • react-server-dom-parcel
   • react-server-dom-turbopack
3. Применяет патчи, обновляя до корректной исправленной версии в зависимости от вашей текущей версии
4. Обновляет ваш lockfile с помощью обнаруженного менеджера пакетов

Затронутые версии

Next.js

Пакеты React RSC

Использование

Проверка и исправление (интерактивный режим)

npx fix-react2shell-next

Автоисправление (CI / неинтерактивный режим)

npx fix-react2shell-next --fix

Только проверка (пробный запуск)

npx fix-react2shell-next --dry-run

JSON-вывод (для скриптов)

npx fix-react2shell-next --json

Пример вывода

🔍 fix-react2shell-next - CVE-2025-66478 vulnerability scanner

📂 Found 3 package.json file(s)

🚨 Found 2 vulnerable file(s):

  📄 package.json
     next: ^15.1.0 → 15.1.9

  📄 apps/web/package.json
     next: ^15.4.3 → 15.4.8
     react-server-dom-webpack: 19.1.0 → 19.1.2

🔧 Apply fixes? [Y/n] y

🔧 Applying fixes...

   ✓ Updated package.json
   ✓ Updated apps/web/package.json

📦 Package manager: pnpm
🔄 Refreshing lockfile...

$ pnpm install

✅ Patches applied!
   Remember to test your app and commit the changes.

Поддержка монорепозиториев

Инструмент автоматически находит все файлы package.json в вашем проекте, исключая:

• node_modules
• .next, .turbo, .vercel, .nuxt
• dist, build, .output
• coverage

Работает с workspaces npm, yarn, pnpm и bun.

Ссылки

• GitHub Advisory GHSA-9qr9-h5gf-34mp
• Уведомление о безопасности Next.js
• Уведомление о безопасности React

Лицензия

MIT