CVE-2026-53668 Shopify — эксплойт и детали уязвимости MEDIUM

Параметр	Значение
CVSS	6,9 (MEDIUM)
Уязвимые версии	6.30.2 — 7.13.0
Устранено в версии	7.13.0
Тип уязвимости	CWE-79 (Межсайтовый скриптинг (XSS)), CWE-601 (Открытое перенаправление)
Поставщик	Shopify
Публичный эксплойт	Нет

React Router — это маршрутизатор для React. В версиях с 6.30.2 по 6.30.4 и с 7.9.6 по 7.12.0 приложения, допускающие открытые перенаправления, уязвимы для XSS. Злоумышленник может создать вредоносную ссылку, которая перенаправляет пользователей на неожиданный внешний сайт или использует вектор XSS.

Эта проблема устранена в версии 7.13.0.

Показать оригинальное описание (EN)

React Router is a router for React. In versions 6.30.2 through 6.30.4 and 7.9.6 through 7.12.0, applications that allow open redirects are vulnerable to XSS. An attacker could craft a malicious link that redirects users to an unexpected external site or that exploits an XSS vector.This issue has been fixed in version 7.13.0.

Характеристики атаки

Способ атаки

По сети

Атака возможна удалённо

Сложность

Высокая

Сложно эксплуатировать

Нужны права

Не требуются

Права не нужны

Участие пользователя

Требуется

Нужно действие пользователя

Последствия

Конфиденциальность

Высокое

Полная утечка данных

Целостность

Низкое

Частичная модификация данных

Доступность

Нет

Нет нарушения работы

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

CWE-601 Open Redirect (Открытое перенаправление)

Уязвимые продукты 2

Конфигурация	От (включительно)	До (исключительно)
Shopify React-Router cpe:2.3:a:shopify:react-router::::::node.js::*	`6.30.2`	`<= 6.30.4`
Shopify React-Router cpe:2.3:a:shopify:react-router::::::node.js::*	`7.9.6`	`7.13.0`