nextjs-security-update

Есть люди, создающие OSS-инструменты для эксплуатации новых уязвимостей Next.js. Этот инструмент — ответный удар: он максимально упрощает обновление всех ваших Next.js-приложений во всех ваших GitHub-аккаунтах.

Под капотом используется официальный инструмент исправления от Vercel.

Что произошло

11 декабря 2025 года Next.js раскрыла несколько критических уязвимостей, затрагивающих React Server Components с App Router:

• CVE-2025-66478 (RCE)
• CVE-2025-55183 (Раскрытие исходного кода)
• CVE-2025-55184 (DoS)
• CVE-2025-67779 (Полное исправление DoS)

https://nextjs.org/blog/cve-2025-55183-and-cve-2025-55184

Что делает этот инструмент

1. Находит все ваши GitHub-аккаунты (личные + организации)
2. Позволяет выбрать, какие из них сканировать
3. Находит все репозитории с Next.js
4. Запускает официальный инструмент исправления от Vercel в каждом из них (поддерживает монорепозитории, пакеты React RSC, lock-файлы)
5. Создаёт коммиты локально (вы пушите, когда будете готовы)

Использование

curl -O https://raw.githubusercontent.com/williavs/nextjs-security-update/main/nextjs-security-update.sh
chmod +x nextjs-security-update.sh
./nextjs-security-update.sh

Или укажите аккаунты напрямую:

./nextjs-security-update.sh myusername myorg

Опции

DRY_RUN=true ./nextjs-security-update.sh    # Показать, что изменится
AUTO_PUSH=true ./nextjs-security-update.sh  # Пушить автоматически

Требования

• gh (GitHub CLI) — авторизованный
• node / npx
• git

После запуска

Запушьте все изменения:

cd ~/nextjs-security-updates
for d in */; do (cd "$d" && git push && echo "Pushed $d"); done

Затем переразверните свои приложения.