cve-2025-55182-mitigator

防御性扫描器 + CVE-2025-55182（React 服务端组件 / Flight 协议不安全反序列化）缓解指南。

该工具旨在帮助您：

• 基于依赖版本识别可能存在漏洞的仓库
• 快速应用**确定性缓解（补丁/升级）**目标

重要

• 立即修补是唯一的确定性缓解措施。
• 此工具无法证明可利用性。它使用版本启发式方法及仓库信号。
• 如果您怀疑已遭入侵，请遵循您的事件响应流程。

升级目标（确定性缓解）

根据2025年12月的指南：

• React: 19.0.1 或 19.1.2 或 19.2.1
• Next.js: 16.0.7 或 15.5.7 或 15.4.8 或 15.3.6 或 15.2.6 或 15.1.9 或 15.0.5

安装

从此仓库：

npm install

通过 Node 运行：

node cli.js scan .

或全局安装：

npm install -g .
cve-2025-55182 scan .

用法

扫描仓库

cve-2025-55182 scan /path/to/repo

JSON 输出：

cve-2025-55182 scan /path/to/repo --json

CI 友好退出码：

cve-2025-55182 scan /path/to/repo --fail-on-vulnerable

• 如果可能存在漏洞则退出码为 2
• 如果未被标记则退出码为 0
• 出错时退出码为 1

打印缓解目标

cve-2025-55182 help-mitigate

生成可选加固代码片段

这些不能替代修补。

cve-2025-55182 generate --express
cve-2025-55182 generate --nginx

检查内容

• 针对 next、react、react-dom、react-server 的 package.json 依赖范围
• 锁定文件以查找已解析的版本：
  • package-lock.json
  • pnpm-lock.yaml
  • yarn.lock

许可证

MIT