CVE-2026-21884 in react-router
Riassunto
di VulDB • 16/06/2026
React Router è un router per React. Nelle versioni di @remix-run/react precedenti alla 2.17.3 e nelle versioni di react-router dalla 7.0.0 alla 7.11.0, è presente una vulnerabilità XSS nell'API <ScrollRestoration> di React Router in Framework Mode quando si utilizzano le proprietà getKey/storageKey durante il Server-Side Rendering (SSR). Ciò potrebbe consentire l'esecuzione di codice JavaScript arbitrario durante l'SSR se vengono utilizzati contenuti non attendibili per generare le chiavi. Non vi è alcun impatto se il rendering lato server in Framework Mode è disabilitato, oppure se viene utilizzata la Declarative Mode (<BrowserRouter>) o la Data Mode (createBrowserRouter/<RouterProvider>). Questo problema è stato risolto nelle versioni @remix-run/react 2.17.3 e react-router 7.12.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.