CVE-2026-21884 (CNNVD-202601-1762)

HIGH
中文标题:
react-router 跨站脚本漏洞
英文标题:
React Router SSR XSS in ScrollRestoration
CVSS分数: 8.2
发布时间: 2026-01-10 02:41:44
漏洞类型: 跨站脚本
状态: PUBLISHED
数据质量分数: 0.40
数据版本: v3
漏洞描述
中文描述:

react-router是Remix开源的一个 React 的声明式路由。 React Router 7.0.0版本至7.11.0版本存在跨站脚本漏洞，该漏洞源于服务器端渲染期间使用不受信任内容生成密钥，可能导致跨站脚本攻击。

英文描述:

React Router is a router for React. In @remix-run/react version prior to 2.17.3. and react-router 7.0.0 through 7.11.0, a XSS vulnerability exists in in React Router's <ScrollRestoration> API in Framework Mode when using the getKey/storageKey props during Server-Side Rendering which could allow arbitrary JavaScript execution during SSR if untrusted content is used to generate the keys. There is no impact if server-side rendering in Framework Mode is disabled, or if Declarative Mode (<BrowserRouter>) or Data Mode (createBrowserRouter/<RouterProvider>) is being used. This issue has been patched in @remix-run/react version 2.17.3 and react-router version 7.12.0.

CWE类型:
CWE-79
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
remix-run react-router @remix-run/react < 2.17.3 - - cpe:2.3:a:remix-run:react-router:@remix-run_react_<_2.17.3:*:*:*:*:*:*:*
remix-run react-router react-router >= 7.0.0, < 7.12.0 - - cpe:2.3:a:remix-run:react-router:react-router__>=_7.0.0,_<_7.12.0:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
https://github.com/remix-run/react-router/security/advisories/GHSA-8v8x-cx79-35w7 x_refsource_CONFIRM
cve.org
访问
CVSS评分详情
3.1 (cna)
HIGH
8.2
CVSS向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N
机密性
HIGH
完整性
LOW
可用性
NONE
时间信息
发布时间:
2026-01-10 02:41:44
修改时间:
2026-01-10 02:41:44
创建时间:
2026-01-12 02:12:38
更新时间:
2026-01-16 02:48:21
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2026-21884 2026-01-11 02:02:50 2026-01-12 02:12:38
NVD nvd_CVE-2026-21884 2026-01-11 03:00:07 2026-01-12 02:28:17
CNNVD cnnvd_CNNVD-202601-1762 2026-01-13 07:38:23 2026-01-13 07:41:17
版本与语言
当前版本: v3
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v3 CNNVD
2026-01-13 07:41:17
vulnerability_type: 未提取 → 跨站脚本; cnnvd_id: 未提取 → CNNVD-202601-1762; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 跨站脚本
  • cnnvd_id: 未提取 -> CNNVD-202601-1762
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2026-01-12 02:28:17
data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • data_sources: ['cve'] -> ['cve', 'nvd']