p PatchFirst

CVE-2026-53663

CVE-2026-53663 · React Router: `handleDocumentRequest` CSRF check covers `POST` only; PUT/PATCH/DELETE bypass

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

React Router is a router for React. From 7.12.0 until 7.15.1, certain CSRF checks in React Router v7 Framework Mode were insufficient and run on POST requests, but were bypassed on PUT/PATCH/DELETE requests. This is a low severity vulnerability because modern browser protections (CORS preflight, SameSite cookies) already block the cross-origin attack vectors that this missing CSRF check would otherwise gate. This vulnerability is fixed in 7.15.1.

CVSS 3.1 · Baja · EPSS 0,1% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • react-router

    Versiones
    • >= 7.12.0, < 7.15.1: Afectada

    Sin corrección publicada

  • server-runtime

    Versiones
    • >= 2.17.3, < 2.17.5: Afectada

    Sin corrección publicada

  • react-router npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 7.12.0, < 7.15.1

    Actualiza a 7.15.1

  • @remix-run/server-runtime npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 2.17.3, < 2.17.5

    Actualiza a 2.17.5

Fuentes originales

Comprueba tu servidor →