CVE-2026-21884：CWE-79：remix-run react-router 中网页生成期间输入过滤不当（跨站脚本） - 实时威胁情报

严重性：高 类型：漏洞 CVE：CVE-2026-21884

React Router 是 React 的一个路由库。在 @remix-run/react 版本 2.17.3 之前以及 react-router 版本 7.0.0 至 7.11.0 中，当在服务端渲染（SSR）过程中使用 getKey/storageKey 属性时，React Router 的 <ScrollRestoration> API 在框架模式下存在一个 XSS 漏洞。如果使用不受信任的内容来生成密钥，此漏洞可能导致在 SSR 期间执行任意 JavaScript 代码。如果禁用了框架模式下的服务端渲染，或者正在使用声明式模式（<BrowserRouter>）或数据模式（createBrowserRouter/<RouterProvider>），则此漏洞没有影响。此问题已在 @remix-run/react 版本 2.17.3 和 react-router 版本 7.12.0 中得到修复。

AI 分析

技术摘要

CVE-2026-21884 是一个被归类为 CWE-79 的跨站脚本（XSS）漏洞，发现于广泛使用的 React 应用路由解决方案 React Router 库中。该漏洞专门影响 @remix-run/react 2.17.3 之前的版本以及 react-router 7.0.0 至 7.11.0 的版本。当在启用服务端渲染（SSR）的框架模式下操作 <ScrollRestoration> API 时，会出现此问题。如果在 SSR 期间使用 getKey 或 storageKey 属性从未受信任的输入生成密钥，就会导致输入过滤不当。这种不正确的净化处理使得攻击者能够注入在页面生成期间在服务器端执行的恶意 JavaScript 代码。值得注意的是，此漏洞不影响在框架模式下禁用了 SSR 的应用程序，也不影响使用声明式模式（<BrowserRouter>）或数据模式（createBrowserRouter/<RouterProvider>）的应用程序。该漏洞已在 @remix-run/react 版本 2.17.3 和 react-router 版本 7.12.0 中得到解决。CVSS v3.1 评分为 8.2，反映了高严重性，攻击向量为网络，攻击复杂度低，无需权限，但需要用户交互。影响范围发生改变，对机密性影响高，对完整性影响有限，对可用性无影响。目前尚未报告在野的已知利用。对于依赖框架模式下的 SSR 并在受影响的 React Router 版本中使用不受信任数据生成密钥的应用程序来说，此漏洞至关重要。

潜在影响

对于欧洲组织而言，CVE-2026-21884 的影响可能非常重大，尤其是对于那些使用易受攻击版本的 React Router 并部署了采用框架模式 SSR 的 React 应用程序的组织。成功利用可能导致在服务端渲染期间执行任意 JavaScript 代码，可能暴露服务器上处理的敏感数据，包括用户会话信息或内部应用程序逻辑。这会危及机密性，并可能促成进一步的攻击，例如会话劫持、数据盗窃或影响最终用户的恶意负载注入。由于 React 在欧洲金融、医疗保健和电子商务等多个行业被广泛采用，使用框架模式 SSR 的组织面临更高的风险。该漏洞不影响纯客户端应用程序或使用其他路由模式的应用程序，这在某种程度上限制了影响范围。然而，易于利用（网络向量、无需权限）和对机密性的高影响，使得这对于处理敏感数据或在 GDPR 监管环境下运行的 Web 应用程序成为一个关键问题。在野暂无已知利用为主动缓解提供了一个窗口期，但潜在的损害需要进行紧急修补和 SSR 配置审查。

缓解建议

欧洲组织应立即审计其 React 应用程序，以识别是否使用了 @remix-run/react 2.17.3 之前的版本或 react-router 7.0.0 至 7.11.0 之间的版本，尤其要重点关注那些在框架模式下使用 <ScrollRestoration> API 及 getKey/storageKey 属性进行 SSR 的应用程序。主要的缓解措施是升级到已修复该漏洞的 @remix-run/react 2.17.3 或 react-router 7.12.0 或更高版本。如果无法立即升级，组织应禁用框架模式下的 SSR，或者避免将 getKey/storageKey 与不受信任的输入一起使用，以防止被利用。此外，应对用于密钥生成的任何数据实施严格的输入验证和净化处理，以中和潜在的恶意内容。进行彻底的代码审查，确保没有不受信任的数据传递给这些属性。采用内容安全策略（CSP）标头来限制潜在 XSS 攻击的影响。监控应用程序日志中与 SSR 进程相关的异常活动。最后，制定事件响应计划以快速处理任何利用企图。

受影响国家

德国、法国、英国、荷兰、瑞典、意大利、西班牙、波兰

来源： CVE Database V5 发布日期： 2026年1月10日星期六

技术详情

数据版本： 5.2 分配者简称： GitHub_M 发布日期预留： 2026-01-05T17:24:36.928Z Cvss 版本： 3.1 状态： PUBLISHED 威胁 ID： 6961c40f19784dcf52ace86a 添加到数据库： 2026/1/10 上午 3:14:23 最后丰富： 2026/1/10 上午 3:29:38 最后更新： 2026/1/11 上午 1:31:29 浏览量： 23

React Router 高危XSS漏洞 CVE-2026-21884 技术分析与缓解指南