Tóm tắt nhanh
- CVE-2026-42211 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng react-router (shopify), react-router.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.42%, cao hơn 35.9% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 7.14.2 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| react-router | ≥ 7.0.0, < 7.14.2
| 7.14.2
|
| react-router npm | ≥ 7.0.0, < 7.14.2
| 7.14.2
|
Mô tả
When using React Router v7 in Framework Mode, there exists a combination of steps that could potentially allow unauthorized RCE through external requests. This first requires the application code to have an existing prototype pollution vulnerability. This can be leveraged into a 2-step attack in which the second step can trigger unauthorized RCE on the remote server.
[!NOTE]
This does not impact your React Router application if you are using Declarative Mode (<BrowserRouter>) or Data Mode (createBrowserRouter/<RouterProvider>).
Mô tả của NVD
React Router is a router for React. In versions 7.0.0 through 7.14.1, when using Framework Mode, a combination of steps could potentially allow unauthorized remote code execution (RCE) through external requests. This attack requires the application code to have an existing prototype pollution vulnerability, which can then be leveraged in a 2-step attack where the second step triggers unauthorized RCE on the remote server. This does not impact applications using Declarative Mode (`<BrowserRouter>`) or Data Mode (`createBrowserRouter/<RouterProvider>`). This is patched in version 7.14.2.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí