CVE-2025-61686

Nome do Software Vulnerável e Versões Afetadas Versões do React Router de 7.0.0 a 7.9.3 Versões do @remix-run/deno anteriores a 2.17.2 Versões do @remix-run/node anteriores a 2.17.2

Descrição A questão refere-se a uma falha de path traversal no React Router e no Remix ao utilizar a função createFileSessionStorage() com cookies não assinados. Um atacante pode manipular o cookie de sessão para ler ou escrever arquivos de sessão fora do diretório pretendido. O sucesso do ataque depende das permissões do processo do servidor web para acessar tais arquivos. Embora os arquivos lidos não possam ser retornados diretamente ao atacante, a leitura de arquivos de sessão é possível se o arquivo corresponder ao formato esperado de arquivo de sessão, potencialmente preenchendo a sessão no lado do servidor com dados não retornados diretamente ao atacante, a menos que a lógica da aplicação retorne informações específicas da sessão.

Recomendações Atualize o @react-router/node para a versão 7.9.4 ou posterior. Atualize o @remix-run/deno para a versão 2.17.2 ou posterior. Atualize o @remix-run/node para a versão 2.17.2 ou posterior. Evite usar cookies não assinados como mitigação.