React Router: Open redirect leading to XSS

中 6.9CVE-2026-53668 · GHSA-jjmj-jmhj-qwj2 · 27/07/2026 公開 · 24/10/2026 更新

要点

CVE-2026-53668 は react-router (shopify), react-router, react-router-dom に影響する深刻度「中」 (CVSS 6.9) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.34%（全脆弱性の 27.7% より高い）。
対処：7.13.0, 6.30.6 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
react-router shopify	`≥ 6.30.2, ≤ 6.30.4≥ 7.9.6, < 7.13.0`	`7.13.0`
react-router npm	`≥ 7.9.6, < 7.13.0`	`7.13.0`
react-router-dom npm	`≥ 6.30.2, < 6.30.6`	`6.30.6`

概要

Applications with open redirects could permit attacker crafted links to result in redirects to unexpected external location or XSS vectors.

NVD の説明

React Router is a router for React. In versions 6.30.2 through 6.30.4 and 7.9.6 through 7.12.0, applications that allow open redirects are vulnerable to XSS. An attacker could craft a malicious link that redirects users to an unexpected external site or that exploits an XSS vector.This issue has been fixed in version 7.13.0.