React Routerの脆弱性がキャッシュポイズニングやWAFバイパス攻撃に悪用される危険性(CVE-2025-31137)

Reactのルーティングを管理するReact Routerの脆弱性(CVE-2025-31137)がキャッシュポイズニングやWAFバイパス攻撃に悪用される危険性があります。修正版がリリースされているので、対象者はアップデートする事をお勧めします。

脆弱性の対象バージョン

Remix 2.11.1以上/ React Router 7.0.0-7.4.0

脆弱性の対策バージョン

Remix 2.16.3 / React Router 7.4.1

脆弱性の概要

React RouterのExpressアダプターでは、HTTPヘッダ「X-Forwarded-Host」からの値を適切にサニタイズせずに読み込み、結果的に「複合的なURL造成」の機会を与えるようなコードが含まれていました。

これにより、URLパラメータを操作することでキャッシュ管理システムを欠陷に落とし返事をポイズンしてDoS状態を作ることやWAF バイパス、キャッシュポイズニングへの悪用が可能になります。

React Router は広く使用されているライブラリで、あるレポートによると毎週 1,320 万回以上ダウンロードされていますので対象者はアップデートする事をお勧めします。