https://blog.qife122.com/tags/web%E5%89%8D%E7%AB%AF/ Recent content in Web前端 on 办公AI智能小助手 Hugo zh-cn qife Sun, 11 Jan 2026 11:08:22 +0800 https://blog.qife122.com/p/react-router-%E9%AB%98%E5%8D%B1xss%E6%BC%8F%E6%B4%9E-cve-2026-21884-%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90%E4%B8%8E%E7%BC%93%E8%A7%A3%E6%8C%87%E5%8D%97/ Sun, 11 Jan 2026 11:08:22 +0800 https://blog.qife122.com/p/react-router-%E9%AB%98%E5%8D%B1xss%E6%BC%8F%E6%B4%9E-cve-2026-21884-%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90%E4%B8%8E%E7%BC%93%E8%A7%A3%E6%8C%87%E5%8D%97/ <h1 id="cve-2026-21884cwe-79remix-run-react-router-中网页生成期间输入过滤不当跨站脚本---实时威胁情报">CVE-2026-21884：CWE-79：remix-run react-router 中网页生成期间输入过滤不当（跨站脚本） - 实时威胁情报</h1> <p><strong>严重性：高</strong> <strong>类型：漏洞</strong> <strong>CVE：CVE-2026-21884</strong></p> <p>React Router 是 React 的一个路由库。在 @remix-run/react 版本 2.17.3 之前以及 react-router 版本 7.0.0 至 7.11.0 中，当在服务端渲染（SSR）过程中使用 getKey/storageKey 属性时，React Router 的 <code>&lt;ScrollRestoration&gt;</code> API 在框架模式下存在一个 XSS 漏洞。如果使用不受信任的内容来生成密钥，此漏洞可能导致在 SSR 期间执行任意 JavaScript 代码。如果禁用了框架模式下的服务端渲染，或者正在使用声明式模式（<code>&lt;BrowserRouter&gt;</code>）或数据模式（<code>createBrowserRouter</code>/<code>&lt;RouterProvider&gt;</code>），则此漏洞没有影响。此问题已在 @remix-run/react 版本 2.17.3 和 react-router 版本 7.12.0 中得到修复。</p>