React Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE
Summary
React Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE
Original description
The description as published by the source.
When using React Router v7 in Framework Mode, there exists a combination of steps that could potentially allow unauthorized RCE through external requests. This first requires the application code to have an existing prototype pollution vulnerability. This can be leveraged into a 2-step attack in which the second step can trigger unauthorized RCE on the remote server.
[!NOTE]
This does not impact your React Router application if you are using Declarative Mode () or [Data Mode](https://reactrouter.com/start/modes#data) (`createBrowserRouter`/).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ReactのルーティングライブラリであるReact Routerに脆弱性が発見されました。バージョン7.0.0から7.14.1のFramework Modeで、プロトタイプ汚染を利用して不正なリモートコード実行が可能です。許可されていないコードがサーバー上で実行される危険がありますが、Declarative ModeやData Modeを使用しているアプリケーションには影響を与えません。この問題はバージョン7.14.2で修正されています。
React RouterのFramework Modeで、プロトタイプ汚染を利用した不正なリモートコード実行が可能になります。
React Router バージョン7.0.0から7.14.1のFramework Mode
不正なリモートコード実行が可能で、高い危険性を持ちます。CVSSスコアは8.1です。
React Routerをバージョン7.14.2にアップデートする。
Declarative ModeまたはData Modeを使用することで回避可能です。
自身のアプリケーションでFramework Modeを利用しているかを確認し、プロトタイプ汚染の影響を調査する。
Affected packages
References
- advisory nvd.nist.gov
- package github.com
- patch security-advisories@github.com
- web github.com