React Router: Open redirect leading to XSS

TRUNG BÌNH 6.9CVE-2026-53668 · GHSA-jjmj-jmhj-qwj2 · Công bố 27/07/2026 · cập nhật 24/10/2026

Tóm tắt nhanh

CVE-2026-53668 là lỗ hổng mức TRUNG BÌNH (CVSS 6.9) ảnh hưởng react-router (shopify), react-router, react-router-dom.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.34%, cao hơn 27.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 7.13.0, 6.30.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
react-router shopify	`≥ 6.30.2, ≤ 6.30.4≥ 7.9.6, < 7.13.0`	`7.13.0`
react-router npm	`≥ 7.9.6, < 7.13.0`	`7.13.0`
react-router-dom npm	`≥ 6.30.2, < 6.30.6`	`6.30.6`

Mô tả

Applications with open redirects could permit attacker crafted links to result in redirects to unexpected external location or XSS vectors.

Mô tả của NVD

React Router is a router for React. In versions 6.30.2 through 6.30.4 and 7.9.6 through 7.12.0, applications that allow open redirects are vulnerable to XSS. An attacker could craft a malicious link that redirects users to an unexpected external site or that exploits an XSS vector.This issue has been fixed in version 7.13.0.