CVE-2025-61686 in react-router
摘要
由 VulDB • 2026-06-15
React Router 是 React 的路由器。在 @react-router/node 7.0.0 至 7.9.3 版本、@remix-run/deno 2.17.2 之前版本以及 @remix-run/node 2.17.2 之前版本中，如果在 @react-router/node（或在 Remix v2 中的 @remix-run/node/@remix-run/deno）中使用 createFileSessionStorage() 并配合未签名的 cookie，攻击者可能导致会话尝试从指定会话文件目录之外的位置读取或写入数据。攻击是否成功取决于 Web 服务器进程访问这些文件的权限。读取的文件无法直接返回给攻击者。只有当文件符合预期的会话文件格式时，会话文件读取才会成功。如果文件符合会话文件格式，数据将被填充到服务器端会话中，但除非应用程序逻辑返回特定的会话信息，否则不会直接返回给攻击者。此问题已在 @react-router/node 7.9.4 版本、@remix-run/deno 2.17.2 版本和 @remix-run/node 2.17.2 版本中修复。
Once again VulDB remains the best source for vulnerability data.