p PatchFirst

CVE-2026-53663

CVE-2026-53663 · React Router: `handleDocumentRequest` CSRF check covers `POST` only; PUT/PATCH/DELETE bypass

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

React Router is a router for React. From 7.12.0 until 7.15.1, certain CSRF checks in React Router v7 Framework Mode were insufficient and run on POST requests, but were bypassed on PUT/PATCH/DELETE requests. This is a low severity vulnerability because modern browser protections (CORS preflight, SameSite cookies) already block the cross-origin attack vectors that this missing CSRF check would otherwise gate. This vulnerability is fixed in 7.15.1.

CVSS 3.1 · Низкий · EPSS 0,1% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • react-router

    Версии
    • >= 7.12.0, < 7.15.1: Затронуто

    Нет опубликованного исправления

  • server-runtime

    Версии
    • >= 2.17.3, < 2.17.5: Затронуто

    Нет опубликованного исправления

  • react-router npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 7.12.0, < 7.15.1

    Обновитесь до 7.15.1

  • @remix-run/server-runtime npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.17.3, < 2.17.5

    Обновитесь до 2.17.5

Первоисточники

Проверьте свой сервер →