JVNDB-2026-026751

ShopifyのReact Routerにおける複数の脆弱性

React Router は React 用のルーターです。バージョン 7.0.0 から 7.17.0 までの間、認証なしでターゲット化されたリクエストを通じてマニフェストエンドポイントにアクセスすることができました。これによりサーバーに大きな負荷がかかり、応答時間が遅くなる可能性がありました。この問題は CVE-2026-42342 の続報であり、宣言的モード（＜BrowserRouter＞）またはデータモード（createBrowserRouter/＜RouterProvider＞）を使用している React Router アプリケーションには影響しません。この問題はバージョン 7.18.0 で修正されています。

Shopify

• React Router 7.0.0 以上 7.18.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : DoS via unbounded path expansion in __manifest endpoint  Advisory  remix-run/react-router  GitHub
• GitHub : Unauthenticated Denial of Service in React Router __manifest endpoint  Advisory  remix-run/react-router  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-55685

1. National Vulnerability Database (NVD) : CVE-2026-55685
2. 関連文書 : Optimize route matching internals (#15186)  remix-run/react-router@09e6020  GitHub
3. 関連文書 : Optimize route matching internals by brophdawg11  Pull Request #15186  remix-run/react-router  GitHub
4. 関連文書 : Release v7.18.0  remix-run/react-router  GitHub
5. 関連文書 : react-router/CHANGELOG.md at main  remix-run/react-router  GitHub

• [2026年08月04日]
    掲載