XSS (Cross-Site Scripting) dans react-router (CVE-2026-33245)
Résumé
XSS dans react-router (CVE-2026-33245). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers >=7.13.2 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
When using React Router v7's unstable RSC APIs, there exists a potential client-side XSS issue in the RSC redirect handling if redirects are coming from untrusted sources
[!NOTE]
This only impacts your application if you are using the unstable RSC APIs in React Router.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-33245 a été découverte dans react.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.0/10.
Action : mettez à jour react vers >=7.13.2 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « react CVE-2026-33245 » sur le site de l'éditeur.
CVE-2026-33245 (react) — CWE-79 / CVSS v3 8.0
Vecteur d'attaque : distant (réseau) / non authentifié
Versions affectées : >=7.7.0,<7.13.2
Correctif : >=7.13.2 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
React RouterにおけるクライアントサイドXSSの脆弱性。
バージョン7.7.0から7.13.1のReact RouterのRSC API。
信頼できないソースからのリダイレクトにより、クライアントサイドでXSS攻撃が可能。
React Routerをバージョン7.13.2にアップデートしてください。
RSC APIを使用しないか、信頼できるソースからのリダイレクトのみを許可する。
アプリケーションがRSC APIを使用しているか確認し、リダイレクト元のソースをチェックする。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- patch security-advisories@github.com
- web github.com