PT-2025-17868 · Unknown · React Router

Cold-Try · Publicado 2025-04-24 · Atualizado 2025-12-04 · CVE-2025-43865

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

Nome do Software Vulnerável e Versões Afetadas Versões 7.0 a 7.5.1 do React Router

Descrição O problema permite que um atacante modifique dados pré-renderizados ao adicionar um cabeçalho à requisição, potencialmente levando a diversas explorações, incluindo XSS armazenado. Isso é possível devido a uma vulnerabilidade no React Router, que é um roteador para React. A vulnerabilidade pode ser explorada adicionando-se um cabeçalho à requisição, permitindo que um atacante falsifique completamente o conteúdo e modifique todos os valores do objeto de dados passado para o HTML.

Recomendações Para as versões 7.0 a 7.5.1 do React Router, atualize para a versão 7.5.2 para resolver o problema. Como medida temporária, considere restringir o acesso ao módulo vulnerável ou desabilitar a capacidade de adicionar cabeçalhos às requisições até que uma correção esteja disponível. Evite utilizar as versões vulneráveis do React Router até que o problema seja resolvido.

Exploit

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2025-43865

GHSA-CPJ6-FHP6-MR6J

Produtos afetados

React Router

Referências · 52

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/43xxx/CVE-2025-43865.json · Exploit
• https://github.com/remix-run/react-router · Nota
• https://github.com/remix-run/react-router/commit/c84302972a152d851cf5dd859ff332b354b70111 · Nota
• https://github.com/remix-run/react-router/security/advisories/GHSA-cpj6-fhp6-mr6j · Nota
• https://github.com/remix-run/react-router/blob/e6c53a0130559b4a9bd47f9cf76ea5b08a69868a/packages/react-router/lib/server-runtime/routes.ts#L87 · Nota
• https://twitter.com/AskPerplexity/status/1916460488344342682 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1kru1zj/top_10_trending_cves_21052025 · Publicação no Reddit
• https://twitter.com/hyperwaiver/status/1916692502389707145 · Publicação no Twitter
• https://twitter.com/HunterMapping/status/1916679959479042273 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1k9rx34/top_10_trending_cves_28042025 · Publicação no Reddit
• https://twitter.com/KasunLuckshitha/status/1916840572503101825 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/2192 · Publicação no Telegram
• https://t.me/cvetracker/22337 · Publicação no Telegram
• https://twitter.com/vercel_changes/status/1916235361442992333 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-cpj6-fhp6-mr6j · Aviso do Fabricante