CVE-2025-61686 in react-router
Zusammenfassung
von VulDB • 14.05.2026
React Router ist ein Router für React. In @react-router/node in den Versionen 7.0.0 bis 7.9.3, @remix-run/deno vor Version 2.17.2 und @remix-run/node vor Version 2.17.2 ist es möglich, dass ein Angreifer, wenn createFileSessionStorage() aus @react-router/node (bzw. @remix-run/node/@remix-run/deno in Remix v2) in Kombination mit einem nicht signierten Cookie verwendet wird, bewirkt, dass die Sitzung versucht, von einem Speicherort außerhalb des angegebenen Verzeichnisses für Sitzungsdateien zu lesen oder zu schreiben. Der Erfolg des Angriffs hängt von den Berechtigungen des Webserver-Prozesses zum Zugriff auf diese Dateien ab. Gelesene Dateien können nicht direkt an den Angreifer zurückgegeben werden. Das Lesen von Sitzungsdateien gelingt nur, wenn die Datei dem erwarteten Format der Sitzungsdatei entspricht. Wenn die Datei dem Sitzungsdateiformat entspricht, werden die Daten in die serverseitige Sitzung übernommen, aber nicht direkt an den Angreifer zurückgegeben, es sei denn, die Anwendungslogik gibt spezifische Sitzungsinformationen zurück. Dieses Problem wurde in @react-router/node Version 7.9.4, @remix-run/deno Version 2.17.2 und @remix-run/node Version 2.17.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.