Podatności React Router

W bibliotekach React Router i Remix Run wykryto podatność polegającą na możliwości odczytu/zapisu plików sesji poza określonym katalogiem, gdy używana jest funkcja createFileSessionStorage() z niepodpisanym ciasteczkiem. Atakujący może spowodować, że sesja będzie próbować odczytać/zapisać dane w lokalizacji poza docelowym katalogiem plików sesji, co zależy od uprawnień procesu serwera WWW.

Podatność w React Router w wersjach 7.0.0 do 7.17.0. Nieuwierzytelnione żądania do punktu końcowego manifestu mogą przeciążyć serwer i spowolnić odpowiedzi. Problem nie dotyczy aplikacji używających trybu deklaratywnego (<BrowserRouter>) lub Data Mode (createBrowserRouter/<RouterProvider>).

React Router w wersjach 6.0.0 do 7.17.0 jest podatny na otwarte przekierowanie poprzez użycie backslashy w komponentach <Link> i funkcji useNavigate. Problem został naprawiony w wersji 7.18.0.

React Router w wersjach 6.30.2 do 6.30.4 oraz 7.9.6 do 7.12.0 jest podatny na XSS w aplikacjach zezwalających na otwarte przekierowania. Atakujący może stworzyć złośliwy link przekierowujący do zewnętrznej strony lub wykorzystujący wektor XSS. Problem został naprawiony w wersji 7.13.0.

React Router w wersjach 7.11.0 do 7.17.0 ma brak walidacji protokołu w RSCErrorHandler, co umożliwia przekierowania z niezaufanych źródeł. Problem dotyczy tylko aplikacji używających niestabilnych API RSC. Naprawiony w wersji 7.18.0.

React Router w wersjach 6.4.0 do 7.17.0 umożliwia nieoczekiwane wykonanie konstruktora na kliencie, jeśli kod aplikacji pozwala na nadpisanie pewnych aspektów błędów SSR przez dane wejściowe atakującego. To może wywołać wychodzące żądanie sieciowe. Problem dotyczy tylko aplikacji w trybie Framework lub Data Mode wykonujących ręczne SSR/hydration. Naprawiony w wersji 7.18.0.

React Router w wersjach od 7.12.0 do 7.15.1 miał niewystarczające kontrole CSRF w trybie Framework Mode, które działały na żądania POST, ale były omijane w przypadku żądań PUT/PATCH/DELETE. Ta podatność została naprawiona w wersji 7.15.1.

React Router w wersjach 7.0.0 do 7.14.x oraz @remix-run/server-runtime w wersjach 2.10.0 do 2.17.4 zawierają podatność na atak DoS poprzez nieograniczoną ekspansję ścieżki w punkcie końcowym __manifest. Atakujący może wysłać spreparowane żądania, które zużywają nadmierne zasoby serwera.

React Router w wersjach 7.0.0 do 7.14.1 w trybie Framework Mode może pozwolić na zdalne wykonanie kodu (RCE) przez zewnętrzne żądania, jeśli aplikacja ma istniejącą podatność na prototype pollution. Atak wymaga dwóch kroków. Nie dotyczy trybu Declarative ani Data Mode.

React Router w wersjach 7.0.0 do 7.14.0 oraz 6.7.0 do 6.30.3 zawiera podatność na otwarte przekierowanie, gdy pewne adresy URL przekazane do funkcji redirect są interpretowane jako protokołowo-względne, co może przekierować użytkownika na zewnętrzną domenę.

Podatność na Cross-Site Scripting (XSS) po stronie klienta w React Router w wersjach 7.7.0 do 7.13.1, występująca podczas obsługi przekierowań RSC z niezaufanych źródeł. Dotyczy tylko aplikacji używających niestabilnych API RSC.

React Router w wersjach 7.7.0 do 7.13.1 zawiera podatność na Cross-Site Scripting (XSS) po stronie klienta w obsłudze przekierowań React Server Components (RSC), jeśli przekierowania pochodzą z niezaufanych źródeł. Problem dotyczy tylko aplikacji korzystających z niestabilnych API RSC. Podatność została załatana w wersji 7.13.2.

React Router w wersjach 7.5.1 do 7.13.1 w trybie Framework z włączonym pre-renderowaniem nieprawidłowo neutralizuje nagłówek HTTP Location, co umożliwia XSS w statycznych plikach HTML, jeśli źródło przekierowania jest niezaufane. Nie dotyczy trybu deklaratywnego ani Data Mode. Poprawiono w wersji 7.13.2.

W @remix-run/router przed 1.23.2 i react-router 7.0.0-7.11.0, przekierowania w SPA z loaderów/akcji w trybach Framework, Data lub RSC mogą prowadzić do niebezpiecznych URL-i, umożliwiając niezamierzone wykonanie kodu JavaScript po stronie klienta. Problem występuje tylko przy tworzeniu ścieżek przekierowań z niezaufanych treści lub otwartych przekierowań.

Podatność XSS w React Router w trybie Framework podczas renderowania po stronie serwera (SSR) przy użyciu właściwości getKey/storageKey w komponencie <ScrollRestoration>. Luka umożliwia wykonanie dowolnego kodu JavaScript podczas SSR, jeśli do generowania kluczy używane są niezaufane dane.

W React Router w wersjach @remix-run/react 1.15.0-2.17.0 oraz react-router 7.0.0-7.8.2 występuje podatność XSS w API meta()/<Meta> w trybie Framework. Umożliwia ona wykonanie dowolnego kodu JavaScript podczas renderowania po stronie serwera (SSR) przy użyciu niezaufanych danych do generowania tagów script:ld+json.