CVE-2025-59057: CWE-79：Remix-run React Router 中网页生成期间的输入中和不当（跨站脚本） - 实时威胁情报 - 威胁雷达 | OffSeq.com

严重性: 高类型: 漏洞

CVE-2025-59057

React Router 是 React 的一个路由库。在 @remix-run/react 版本 1.15.0 到 2.17.0 以及 react-router 版本 7.0.0 到 7.8.2 中，当在框架模式下生成 script:ld+json 标签时，React Router 的 meta()/<Meta> API 中存在一个 XSS 漏洞。如果使用不受信任的内容来生成该标签，可能导致在 SSR（服务器端渲染）期间执行任意 JavaScript。如果应用程序在声明式模式（<BrowserRouter>）或数据模式（createBrowserRouter/<RouterProvider>）下使用，则不受影响。此问题已在 @remix-run/react 版本 2.17.1 和 react-router 版本 7.9.0 中得到修复。

AI 分析

技术总结

CVE-2025-59057 是一个跨站脚本（XSS）漏洞，归类于 CWE-79，发现于广泛使用的 React 应用程序路由解决方案 React Router 库中。该漏洞特别影响在框架模式下使用的 meta() 和 <Meta> API，这些 API 在服务器端渲染（SSR）期间会生成 script:ld+json 标签。这些标签旨在为 SEO 和其他目的嵌入 JSON-LD 格式的结构化数据。然而，如果使用不受信任或未经适当净化的输入来生成这些标签，则可能导致输入中和不当，使得攻击者能够注入任意 JavaScript 代码。此代码将在受害者的浏览器上下文中执行，可能导致数据窃取、会话劫持或其他恶意行为。

该漏洞不影响使用声明式模式（<BrowserRouter>）或数据模式（createBrowserRouter/<RouterProvider>）的应用程序，这些模式以不同方式处理路由，并且不会以相同方式生成易受攻击的脚本标签。

受影响版本为 @remix-run/react 从 1.15.0 到 2.17.0 以及 react-router 从 7.0.0 到 7.8.2。此问题已公开披露，CVSS v3.1 评分为 7.6，表明严重性高，攻击向量为网络，攻击复杂度低，需要权限（PR:L）和用户交互（UI:R）。范围已更改（S:C），对机密性影响高，对完整性影响低，对可用性无影响。截至发布日期，尚未有已知的在野利用报告。

该漏洞已在 @remix-run/react 2.17.1 和 react-router 7.9.0 中修复，强烈建议用户升级到这些版本或更高版本以降低风险。

潜在影响

对于欧洲组织而言，此漏洞构成了重大风险，特别是对于那些部署了在框架模式下使用受影响版本 React Router 的 React 应用程序的组织。成功利用可能导致在用户浏览器中执行任意 JavaScript，从而窃取敏感数据，如身份验证令牌、个人信息或公司机密。这也可能助长进一步的攻击，如会话劫持或网络钓鱼。对机密性的影响很高，而由于客户端数据可能被操纵，完整性受到中等影响。可用性不受影响。

鉴于 React 在欧洲企业（包括金融、医疗保健和电子商务等行业）中的广泛采用，风险相当大。根据 GDPR 处理敏感数据或受监管数据的组织必须特别警惕，因为漏洞利用可能导致数据泄露和监管处罚。低权限要求和用户交互降低了攻击者的门槛，提高了威胁级别。尽管目前没有已知的在野利用，但公开披露和补丁的可用性要求立即采取行动以防止潜在攻击。

缓解建议

欧洲组织应立即评估其 React Router 和 @remix-run/react 库的使用情况，以确定是否正在运行受影响版本（@remix-run/react 的 1.15.0 到 <2.17.1 以及 react-router 的 7.0.0 到 <7.9.0）。主要的缓解措施是升级到修复后的版本：@remix-run/react 2.17.1 或更高版本，以及 react-router 7.9.0 或更高版本。

此外，组织应审计其在框架模式下对 meta() 和 <Meta> API 的使用，确保没有使用不受信任或用户提供的输入来生成 script:ld+json 标签。对任何可能嵌入这些标签的数据实施严格的输入验证和清理。采用内容安全策略（CSP）标头来限制脚本执行源，这可以减轻 XSS 攻击的影响。进行彻底的安全测试，包括针对 SSR 和元标签生成的自动化扫描和手动代码审查。教育开发人员了解在 SSR 上下文中不当处理输入的风险。最后，监控应用程序日志和用户报告，寻找可能表明利用尝试的可疑活动迹象。

受影响国家

德国、法国、英国、荷兰、瑞典、意大利、西班牙

来源: CVE 数据库 V5 发布日期: 2026年1月10日星期六

技术细节

数据版本: 5.2
分配者简称: GitHub_M
日期保留: 2025-09-08T16:19:26.173Z
Cvss 版本: 3.1
状态: 已发布
威胁 ID: 6961c40f19784dcf52ace861
添加到数据库时间: 2026/1/10，上午3:14:23
最后丰富时间: 2026/1/10，上午3:30:10
最后更新时间: 2026/1/11，上午12:01:34
查看次数: 5