Kritische Schwachstelle in React Router und Remix ermöglicht unautorisierten Dateizugriff

In den Paketen @react-router/node sowie @remix-run/node und @remix-run/deno wurde eine kritische Sicherheitslücke (CVE-2025-61686) entdeckt, die beim Einsatz von createFileSessionStorage() mit unsignierten Cookies auftritt. Betroffen sind React Router Versionen von 7.0.0 bis einschließlich 7.9.3 sowie Remix v2 bis Version 2.17.1.

Durch die Schwachstelle können Angreifer aus der Ferne und ohne Authentifizierung beeinflussen, aus welchem Pfad Session-Dateien gelesen oder beschrieben werden. Unter bestimmten Voraussetzungen ist dadurch ein Zugriff auf Dateien außerhalb des vorgesehenen Session-Verzeichnisses möglich. Ob der Angriff erfolgreich ist, hängt von den Dateisystem-Berechtigungen des Webserver-Prozesses ab.

Ein direktes Auslesen beliebiger Dateien ist zwar nicht möglich, jedoch können Session-Dateien geladen werden, sofern sie dem erwarteten Format entsprechen. In diesem Fall werden die Inhalte in die serverseitige Session übernommen, was je nach Anwendungslogik zu Manipulationen oder Ausfällen führen kann. Die Integrität und Verfügbarkeit gelten als hoch betroffen, die CVSS-Bewertung liegt bei 9.1 (kritisch).

Behoben wurde das Problem in @react-router/node ab Version 7.9.4 sowie in @remix-run/node und @remix-run/deno ab Version 2.17.2. Entwickler sollten dringend prüfen, ob createFileSessionStorage() mit unsignierten Cookies eingesetzt wird, und zeitnah auf die gepatchten Versionen aktualisieren.

Tags :

Related Posts

HPE OneView: Kritische Code-Injection ermöglicht unauthentifizierte Remote-Code-Ausführung

Hewlett Packard Enterprise warnt vor einer kritischen Sicherheitslücke in HPE OneView, die es entfernten, nicht authentifizierten Angreifern erlaubt, beliebigen Code auszuführen. Die Schwachstelle wird unter CVE-2025-37164 geführt und erreicht mit einem CVSS-Score von 10.0 die höchste Kritikalitätsstufe.

Read More

EU-Kommission plant verbindliches Huawei-Verbot im Cybersecurity Act

Laut einem Bericht von Golem erwägt die EU-Kommission, den Einsatz chinesischer Technologieanbieter wie Huawei und ZTE in kritischen Infrastrukturen künftig verpflichtend zu untersagen. Hintergrund ist eine geplante Überarbeitung des Cybersecurity Acts, die am 14. Januar 2026 vorgestellt werden soll. Damit würden die bislang freiwilligen Maßnahmen der sogenannten ICT Toolbox verbindlich umgesetzt, die den Ausschluss von Technik aus als nicht vertrauenswürdig eingestuften Staaten vorsieht.

Read More

Spanien: 34 Festnahmen von Mitgliedern der nigerianischen Cyber-Fraud Gruppe Black-Axe

Spanische Sicherheitsbehörden haben 34 Verdächtige festgenommen, die Teil eines europaweit aktiven Cybercrime-Netzwerks sein sollen und Verbindungen zur berüchtigten Black-Axe-Gruppierung haben. Die Ermittlungen erfolgten in Zusammenarbeit mit dem Bayerischen Landeskriminalamt und mit Unterstützung von Europol.

Read More