CVE-2026-33245
HighCVSS 8.0Summary
React Router w wersjach od 7.7.0 do 7.13.1 zawiera potencjalną podatność na atak Cross-Site Scripting (XSS) w obsłudze przekierowań RSC, gdy przekierowania pochodzą z nieufnych źródeł. Problem ten nie dotyczy aplikacji, które nie korzystają z niestabilnych API RSC w React Router.
Risk Assessment
Organizacje korzystające z podatnych wersji React Router mogą być narażone na ataki XSS, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Wartościowe dane mogą zostać ujawnione, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji.
Recommendation
Zaleca się aktualizację React Router do wersji 7.13.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy unikać korzystania z nieufnych źródeł w przekierowaniach.
Original NVD description (English source)
React Router is a router for React. In versions 7.7.0 through 7.13.1, when using React Router's unstable React Server Components (RSC) APIs, there is a potential client-side Cross-Site Scripting (XSS) vulnerability in the RSC redirect handling if redirects come from untrusted sources. This does not impact applications that are not using the unstable RSC APIs in React Router. This is patched in version 7.13.2.