CVE-2026-42211
WysokieCVSS 8.1Streszczenie
React Router w wersjach od 7.0.0 do 7.14.1, w trybie Framework Mode, może umożliwić zdalne wykonanie kodu (RCE) w wyniku połączenia kilku kroków. Atak wymaga istnienia podatności na zanieczyszczenie prototypu w kodzie aplikacji, co pozwala na przeprowadzenie ataku w dwóch krokach, gdzie drugi krok wywołuje nieautoryzowane RCE na zdalnym serwerze.
Ocena ryzyka
Organizacje mogą być narażone na poważne zagrożenia związane z bezpieczeństwem, jeśli ich aplikacje korzystają z podatnych wersji React Router i mają istniejące podatności na zanieczyszczenie prototypu. Potencjalne zdalne wykonanie kodu może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację React Router do wersji 7.14.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy przeprowadzić audyt kodu w celu zidentyfikowania i naprawienia wszelkich istniejących podatności na zanieczyszczenie prototypu.
Oryginalny opis (angielski, źródło NVD)
React Router is a router for React. In versions 7.0.0 through 7.14.1, when using Framework Mode, a combination of steps could potentially allow unauthorized remote code execution (RCE) through external requests. This attack requires the application code to have an existing prototype pollution vulnerability, which can then be leveraged in a 2-step attack where the second step triggers unauthorized RCE on the remote server. This does not impact applications using Declarative Mode (`<BrowserRouter>`) or Data Mode (`createBrowserRouter/<RouterProvider>`). This is patched in version 7.14.2.