p PatchFirst

CVE-2026-53663

CVE-2026-53663 · React Router: `handleDocumentRequest` CSRF check covers `POST` only; PUT/PATCH/DELETE bypass

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

React Router is a router for React. From 7.12.0 until 7.15.1, certain CSRF checks in React Router v7 Framework Mode were insufficient and run on POST requests, but were bypassed on PUT/PATCH/DELETE requests. This is a low severity vulnerability because modern browser protections (CORS preflight, SameSite cookies) already block the cross-origin attack vectors that this missing CSRF check would otherwise gate. This vulnerability is fixed in 7.15.1.

CVSS 3.1 · Niedrig · EPSS 0,1% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • react-router

    Softwareversionen
    • >= 7.12.0, < 7.15.1: Betroffen

    Keine Korrektur veröffentlicht

  • server-runtime

    Softwareversionen
    • >= 2.17.3, < 2.17.5: Betroffen

    Keine Korrektur veröffentlicht

  • react-router npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 7.12.0, < 7.15.1

    Auf 7.15.1 aktualisieren

  • @remix-run/server-runtime npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 2.17.3, < 2.17.5

    Auf 2.17.5 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →