Kritische Schwachstelle in React Router und Remix ermöglicht unautorisierten Dateizugriff

In den Paketen @react-router/node sowie @remix-run/node und @remix-run/deno wurde eine kritische Sicherheitslücke (CVE-2025-61686) entdeckt, die beim Einsatz von createFileSessionStorage() mit unsignierten Cookies auftritt. Betroffen sind React Router Versionen von 7.0.0 bis einschließlich 7.9.3 sowie Remix v2 bis Version 2.17.1.

Durch die Schwachstelle können Angreifer aus der Ferne und ohne Authentifizierung beeinflussen, aus welchem Pfad Session-Dateien gelesen oder beschrieben werden. Unter bestimmten Voraussetzungen ist dadurch ein Zugriff auf Dateien außerhalb des vorgesehenen Session-Verzeichnisses möglich. Ob der Angriff erfolgreich ist, hängt von den Dateisystem-Berechtigungen des Webserver-Prozesses ab.

Ein direktes Auslesen beliebiger Dateien ist zwar nicht möglich, jedoch können Session-Dateien geladen werden, sofern sie dem erwarteten Format entsprechen. In diesem Fall werden die Inhalte in die serverseitige Session übernommen, was je nach Anwendungslogik zu Manipulationen oder Ausfällen führen kann. Die Integrität und Verfügbarkeit gelten als hoch betroffen, die CVSS-Bewertung liegt bei 9.1 (kritisch).

Behoben wurde das Problem in @react-router/node ab Version 7.9.4 sowie in @remix-run/node und @remix-run/deno ab Version 2.17.2. Entwickler sollten dringend prüfen, ob createFileSessionStorage() mit unsignierten Cookies eingesetzt wird, und zeitnah auf die gepatchten Versionen aktualisieren.

Tags :

Related Posts

Aktive Angriffe auf Cisco Secure Email Gateway mit Root-RCE entdeckt

Cisco warnt vor einer laufenden Angriffskampagne gegen Cisco Secure Email Gateway sowie Cisco Secure Email and Web Manager. Betroffen sind Appliances, auf denen Cisco AsyncOS läuft und bei denen die Spam-Quarantine-Funktion aktiviert und aus dem Internet erreichbar ist. Die Schwachstelle wird unter CVE-2025-20393 geführt und erreicht mit einem CVSS-Score von 10.0 die höchste Kritikalitätsstufe.

Read More

Spanien: 34 Festnahmen von Mitgliedern der nigerianischen Cyber-Fraud Gruppe Black-Axe

Spanische Sicherheitsbehörden haben 34 Verdächtige festgenommen, die Teil eines europaweit aktiven Cybercrime-Netzwerks sein sollen und Verbindungen zur berüchtigten Black-Axe-Gruppierung haben. Die Ermittlungen erfolgten in Zusammenarbeit mit dem Bayerischen Landeskriminalamt und mit Unterstützung von Europol.

Read More

Kritische PHP-Schwachstellen: Breite Sicherheitsupdates für Linux-Distributionen verfügbar

Für PHP wurden mehrere schwerwiegende Sicherheitslücken mit einem hohen Gesamtrisiko (CVSS 8.6) geschlossen. Betroffen sind PHP-Versionen unterhalb von 8.1.34, 8.2.30, 8.3.29, 8.4.16 und 8.5.1. Die Schwachstellen erlauben unter anderem das Ausspähen von Informationen, die Ausführung beliebigen Programmcodes sowie Denial-of-Service-Angriffe – ohne erforderliche Privilegien und aus der Ferne.

Read More