CVE-2025-31137
Remix y React Router permiten la manipulación de URL mediante cabeceras Host / X-Forwarded-Host
- Publicado
- 1 abr 2025
- Actualizado
- 2 abr 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 4 ago 2026
CVSS primario
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HBajo · próximos 30 días
- Percentil
- 66,8 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
React Router es un enrutador multiestrategia para React que conecta React 18 con React 19. Existe una vulnerabilidad en Remix/React Router que afecta a todos los consumidores de Remix 2 y React Router 7 que usan el adaptador Express. Esta vulnerabilidad permite falsificar la URL utilizada en una solicitud entrante al incluir una ruta de URL en la sección de puerto de una URL que forma parte de un encabezado Host o X-Forwarded-Host enviado a un controlador de solicitudes de Remix/React Router. Este problema se ha corregido y publicado en Remix 2.16.3 y React Router 7.4.1.
Fuentes
CTF challenge que replica CVE-2025-31137 en Remix/React Router Express. Aprende a explotar una vulnerabilidad del lado del servidor para encontrar la bandera de administrador.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.