Kritische Schwachstelle in React Router und Remix ermöglicht unautorisierten Dateizugriff

In den Paketen @react-router/node sowie @remix-run/node und @remix-run/deno wurde eine kritische Sicherheitslücke (CVE-2025-61686) entdeckt, die beim Einsatz von createFileSessionStorage() mit unsignierten Cookies auftritt. Betroffen sind React Router Versionen von 7.0.0 bis einschließlich 7.9.3 sowie Remix v2 bis Version 2.17.1.

Durch die Schwachstelle können Angreifer aus der Ferne und ohne Authentifizierung beeinflussen, aus welchem Pfad Session-Dateien gelesen oder beschrieben werden. Unter bestimmten Voraussetzungen ist dadurch ein Zugriff auf Dateien außerhalb des vorgesehenen Session-Verzeichnisses möglich. Ob der Angriff erfolgreich ist, hängt von den Dateisystem-Berechtigungen des Webserver-Prozesses ab.

Ein direktes Auslesen beliebiger Dateien ist zwar nicht möglich, jedoch können Session-Dateien geladen werden, sofern sie dem erwarteten Format entsprechen. In diesem Fall werden die Inhalte in die serverseitige Session übernommen, was je nach Anwendungslogik zu Manipulationen oder Ausfällen führen kann. Die Integrität und Verfügbarkeit gelten als hoch betroffen, die CVSS-Bewertung liegt bei 9.1 (kritisch).

Behoben wurde das Problem in @react-router/node ab Version 7.9.4 sowie in @remix-run/node und @remix-run/deno ab Version 2.17.2. Entwickler sollten dringend prüfen, ob createFileSessionStorage() mit unsignierten Cookies eingesetzt wird, und zeitnah auf die gepatchten Versionen aktualisieren.

Tags :

Related Posts

Spanien: 34 Festnahmen von Mitgliedern der nigerianischen Cyber-Fraud Gruppe Black-Axe

Spanische Sicherheitsbehörden haben 34 Verdächtige festgenommen, die Teil eines europaweit aktiven Cybercrime-Netzwerks sein sollen und Verbindungen zur berüchtigten Black-Axe-Gruppierung haben. Die Ermittlungen erfolgten in Zusammenarbeit mit dem Bayerischen Landeskriminalamt und mit Unterstützung von Europol.

Read More

Node.js veröffentlicht umfangreiche Security-Updates für mehrere Versionen

Das Node.js-Projekt hat am Dienstag, den 13. Januar 2026, neue Sicherheitsupdates für die aktiven Release-Linien 20.x, 22.x, 24.x und 25.x bereitgestellt. Insgesamt beheben die Updates drei Schwachstellen mit hoher, vier mit mittlerer und eine mit niedriger Kritikalität.

Read More

Aktive Angriffe auf Cisco Secure Email Gateway mit Root-RCE entdeckt

Cisco warnt vor einer laufenden Angriffskampagne gegen Cisco Secure Email Gateway sowie Cisco Secure Email and Web Manager. Betroffen sind Appliances, auf denen Cisco AsyncOS läuft und bei denen die Spam-Quarantine-Funktion aktiviert und aus dem Internet erreichbar ist. Die Schwachstelle wird unter CVE-2025-20393 geführt und erreicht mit einem CVSS-Score von 10.0 die höchste Kritikalitätsstufe.

Read More