React Router possui problema de CSRF no processamento de solicitações Action/Server Action

A vulnerabilidade CSRF em react-router permite que um atacante inicie requisições maliciosas para o servidor, aproveitando a sessão ativa de um usuário. Em cenários de Framework Mode ou React Server Actions, um atacante pode, por exemplo, modificar dados, realizar transações ou alterar configurações, tudo isso sem o conhecimento ou consentimento do usuário. O impacto pode ser significativo, especialmente em aplicações que lidam com informações sensíveis ou operações críticas. A exploração bem-sucedida pode levar à perda de dados, comprometimento da integridade do sistema e até mesmo à tomada de controle da aplicação.

Applications built with React Router (or Remix v2) that utilize server-side route action handlers in Framework Mode, or React Server Actions in unstable RSC modes, are at risk. This includes applications that handle sensitive data or perform critical actions via POST requests. Developers using older versions of React Router and relying on Declarative or Data Mode are not directly affected.

• nodejs: Monitor application logs for unusual POST requests to UI routes, especially those originating from external sources.

grep -i 'POST /ui/route' access.log

• nodejs: Check for any unauthorized modifications to data or user accounts that could be attributed to CSRF attacks.

# Review audit logs for suspicious activity
journalctl -u your-app -g 'CSRF attack'

• generic web: Inspect response headers for unexpected redirects or changes in application state after a user visits a potentially malicious link. Use curl to test endpoints.

curl -v https://your-app.com/ui/route

1. 2026-01-08Disclosure

   disclosure

1. Reservado2026-01-05
2. Publicada2026-01-08
3. Modificada2026-02-03
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o react-router para a versão 7.12.0 ou superior. Se a atualização imediata não for possível devido a incompatibilidades, considere implementar medidas de proteção CSRF adicionais, como tokens CSRF em todas as requisições POST. Utilize bibliotecas de proteção CSRF existentes para gerar e validar tokens. Além disso, revise a lógica de autenticação e autorização da aplicação para garantir que as ações críticas sejam protegidas contra manipulação externa. Após a atualização, confirme a correção verificando se as requisições POST exigem tokens CSRF válidos.

Última atualização

7.13.1há 2 meses