React Router's vendored turbo-stream v2 allows arbitrary con… (CVE-2026-42211, CVSS 8.1)

Résumé

React Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE

Description d'origine

La description telle que publiée par la source (souvent en anglais).

When using React Router v7 in Framework Mode, there exists a combination of steps that could potentially allow unauthorized RCE through external requests. This first requires the application code to have an existing prototype pollution vulnerability. This can be leveraged into a 2-step attack in which the second step can trigger unauthorized RCE on the remote server.

[!NOTE]
This does not impact your React Router application if you are using Declarative Mode () or [Data Mode](https://reactrouter.com/start/modes#data) (`createBrowserRouter`/).

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-42211 a été découverte dans react.
Des attaquants peuvent cibler un point d'entrée spécifique comme createBrowserRouter à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.1/10.
Action : mettez à jour react vers >=7.14.2 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « react CVE-2026-42211 » sur le site de l'éditeur.

CVE-2026-42211 (react) — CWE-502 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : createBrowserRouter
Versions affectées : >= 7.0.0,<= 7.14.1
Correctif : >=7.14.2 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

React RouterのFramework Modeで、プロトタイプ汚染を利用した不正なリモートコード実行が可能になります。

📍 Périmètre concerné

React Router バージョン7.0.0から7.14.1のFramework Mode

🔥 Gravité

不正なリモートコード実行が可能で、高い危険性を持ちます。CVSSスコアは8.1です。

🔧 Comment corriger

React Routerをバージョン7.14.2にアップデートする。

🛡️ Contournement

Declarative ModeまたはData Modeを使用することで回避可能です。

🔍 Détection

自身のアプリケーションでFramework Modeを利用しているかを確認し、プロトタイプ汚染の影響を調査する。

Paquets affectés

npm react-router

[{"type":"SEMVER","events":[{"introduced":"7.0.0"},{"fixed":"7.14.2"}]}]

Résumé

Description d'origine

Résumé IA

Paquets affectés

Références