nextjs-security-update

有人正在构建开源（OSS）工具来利用新的 Next.js 漏洞。这是一个用于反击的工具——让升级你所有 GitHub 账户中的 Next.js 应用变得傻瓜式简单。

底层使用官方 Vercel 修复工具。

发生了什么

2025年12月11日：Next.js 披露了多个影响使用 App Router 的 React Server Components 的关键漏洞：

• CVE-2025-66478 (RCE)
• CVE-2025-55183 (源码泄露)
• CVE-2025-55184 (DoS)
• CVE-2025-67779 (完整 DoS 修复)

https://nextjs.org/blog/cve-2025-55183-and-cve-2025-55184

它能做什么

1. 发现你的所有 GitHub 账户（个人 + 组织）
2. 让你选择要扫描哪些账户
3. 找出所有 Next.js 仓库
4. 对每个仓库运行官方 Vercel 修复工具（可处理 monorepo、React RSC 包、锁文件）
5. 在本地提交（准备好后由你推送）

用法

curl -O https://raw.githubusercontent.com/williavs/nextjs-security-update/main/nextjs-security-update.sh
chmod +x nextjs-security-update.sh
./nextjs-security-update.sh

或直接指定账户：

./nextjs-security-update.sh myusername myorg

选项

DRY_RUN=true ./nextjs-security-update.sh    # See what would change
AUTO_PUSH=true ./nextjs-security-update.sh  # Push automatically

要求

• gh（GitHub CLI）- 已认证
• node / npx
• git

运行后

推送所有更改：

cd ~/nextjs-security-updates
for d in */; do (cd "$d" && git push && echo "Pushed $d"); done

然后重新部署你的应用。