React Router's vendored turbo-stream v2 allows arbitrary con…(CVE-2026-42211・CVSS 8.1)

概要

React Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

When using React Router v7 in Framework Mode, there exists a combination of steps that could potentially allow unauthorized RCE through external requests. This first requires the application code to have an existing prototype pollution vulnerability. This can be leveraged into a 2-step attack in which the second step can trigger unauthorized RCE on the remote server.

[!NOTE]
This does not impact your React Router application if you are using Declarative Mode () or [Data Mode](https://reactrouter.com/start/modes#data) (`createBrowserRouter`/).

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

ReactのルーティングライブラリであるReact Routerに脆弱性が発見されました。バージョン7.0.0から7.14.1のFramework Modeで、プロトタイプ汚染を利用して不正なリモートコード実行が可能です。許可されていないコードがサーバー上で実行される危険がありますが、Declarative ModeやData Modeを使用しているアプリケーションには影響を与えません。この問題はバージョン7.14.2で修正されています。

❓ 何が問題か

React RouterのFramework Modeで、プロトタイプ汚染を利用した不正なリモートコード実行が可能になります。

📍 影響範囲

React Router バージョン7.0.0から7.14.1のFramework Mode

🔥 重要度

不正なリモートコード実行が可能で、高い危険性を持ちます。CVSSスコアは8.1です。

🔧 修正方法

React Routerをバージョン7.14.2にアップデートする。

🛡️ 暫定回避

Declarative ModeまたはData Modeを使用することで回避可能です。

🔍 検知方法

自身のアプリケーションでFramework Modeを利用しているかを確認し、プロトタイプ汚染の影響を調査する。

影響パッケージ

npm react-router

[{"type":"SEMVER","events":[{"introduced":"7.0.0"},{"fixed":"7.14.2"}]}]