React Server Components 安全 PR 自动化

此仓库提供了一个脚本，用于自动升级并创建拉取请求 (PR)，以修复受 CVE-2025-55182 影响的仓库。该漏洞影响易受攻击版本的 react-server-dom-* 及相关的 React 包。

这个工具有什么用？

• 扫描仓库 package.json 中受影响的 react-server-dom-*、react、react-dom 和 next 版本。
• 如有必要，将其升级到安全的修复版本。
• 在目标仓库中创建一个包含更新依赖项的 PR。
• 支持直接仓库和 fork。

为什么需要这个？

React Server Components 及相关包披露了一个严重的安全漏洞 (CVE-2025-55182)。为了帮助开源维护者和团队快速、安全地修补其项目，此脚本自动完成了升级和 PR 创建流程。

支持的包和修复版本

• react-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopack → 升级到 19.2.1
• react、react-dom → 升级到 19.2.1
• next：
  • 如果使用 canary 14.3.0-canary.77 或更高版本，则升级到 14.1.4
  • 15.x / 16.x 升级到最新修补版本 (16.0.7)

使用方法

1. 前提条件

• Node.js >= 18
• 一个具有 repo 权限的 GitHub 个人访问令牌（经典或细粒度）。
• Octokit（用于 Node.js 的 GitHub API SDK）。

2. 配置并运行

1. 安装依赖：

   root@kitploit:~

   npm install
   

2. 将您的 GITHUB_TOKEN 设置为环境变量：

   root@kitploit:~

   export GITHUB_TOKEN=your_token_here
   

3. 编辑 index.ts 中的 repoUrls 数组，列出您要修补的 GitHub 仓库。

4. 运行主工作流：

   root@kitploit:~

   npm run dev
   

3. 接下来会发生什么？

• 脚本会扫描每个列出的仓库中易受攻击的 React 相关依赖项。
• 如果需要升级，它会：
  • 创建一个新分支。
  • 提交修复后的 package.json。
  • 打开一个带有描述性消息和 CVE 披露链接的拉取请求。

示例

请查看 index.ts 中的 main() 函数，了解如何配置仓库列表并运行该流程。

---

⚠️ 免责声明

• 在合并生成的 PR 之前，请务必仔细审查和测试，特别是当您有自定义配置或非标准依赖项用法时。
• 此脚本仅升级根目录 package.json 中固定的版本（monorepo 可能需要定制）。
• 如果遇到速率限制或权限问题，请检查您的 GitHub 令牌权限。

---

参考

• React 安全博客文章
• CVE-2025-55182 详细信息
• Octokit REST.js 文档
• npm audit
• NPM 版本范围工作原理

---

许可证

MIT 许可证

---

如有疑问或贡献，请提出 issue 或 PR！