CVE-2025-43864
高已发布
React Router 允许通过强制 SPA 模式利用缓存投毒实施 DoS
- 已发布
- 2025年4月25日
- 已更新
- 2025年4月25日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月4日
初级CVSS
7.5/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H20.5%
中 · 未来 30 天
- 百分位
- 97.5%
- 型号日期
- 2026年10月15日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
React Router 是 React 的路由器。从 7.2.0 版本开始，到 7.5.2 版本之前，可以通过向请求添加一个标头来强制应用程序切换到 SPA 模式。如果应用程序使用 SSR 并被强制切换到 SPA，这会导致一个错误，从而完全破坏页面。如果存在缓存系统，这允许包含错误的响应被缓存，从而导致缓存投毒，严重影响应用程序的可用性。此问题已在 7.5.2 版本中修复。
来源
通过强制SPA模式进行缓存投毒导致拒绝服务攻击的概念验证，针对React Router应用程序中的CVE-2025-43864。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。