JVNDB-2026-002774

Shopifyの@react-router/node等の複数製品におけるパストラバーサルの脆弱性

React RouterはReact用のルーターです。@react-router/nodeのバージョン7.0.0から7.9.3まで、@remix-run/denoのバージョン2.17.2未満、および@remix-run/nodeのバージョン2.17.2未満において、@react-router/node（またはRemix v2における@remix-run/node/@remix-run/deno）からcreateFileSessionStorage()を署名されていないクッキーと共に使用している場合、攻撃者がセッションを指定されたセッションファイルディレクトリの外部から読み書きできる可能性があります。攻撃の成功は、ウェブサーバープロセスがそれらのファイルにアクセス権限を持つかどうかに依存します。読み取ったファイルを直接攻撃者に返すことはできません。セッションファイルの読み取りはファイルが予期されるセッションファイル形式と一致した場合のみ成功します。ファイルがセッションファイル形式と一致すると、そのデータはサーバー側のセッションに取り込まれますが、アプリケーションのロジックが特定のセッション情報を返さない限り、直接攻撃者に返されることはありません。この問題は@react-router/nodeバージョン7.9.4、@remix-run/denoバージョン2.17.2、および@remix-run/nodeバージョン2.17.2で修正されました。

Shopify

• @react-router/node 7.0.0 以上 7.9.4 未満
• @remix-run/deno 2.17.2 未満
• @remix-run/node 2.17.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Unauthorized file access when using `createFileSessionStorage()` with unsigned cookies  Advisory  remix-run/react-router  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2025-61686

1. National Vulnerability Database (NVD) : CVE-2025-61686

• [2026年02月06日]
    掲載