ShopifyのReact Routerにおけるオープンリダイレクトの脆弱性
| Title |
ShopifyのReact Routerにおけるオープンリダイレクトの脆弱性
|
| Summary |
React RouterはReact用のルーターです。バージョン7.0.0から7.14.0および6.7.0から6.30.3では、redirect関数に渡される特定のURLが、パス値が//で始まる場合にプロトコル相対URLとして再解釈されるため、外部ドメインへのオープンリダイレクトが引き起こされる可能性があります。影響の程度は、リダイレクトを返す前にアプリケーションが行う検証によって異なります。この問題は、宣言的モード（BrowserRouter）を使用しているアプリケーションには影響しません。この問題はバージョン7.14.1および6.30.4で修正されています。
|
| Possible impacts |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 2, 2026, midnight |
| Registration Date |
June 8, 2026, 11:47 a.m. |
| Last Update |
June 8, 2026, 11:47 a.m. |
|
CVSS3.0 : 警告
|
| Score |
6.1
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Affected System
| Shopify |
|
React Router 6.7.0 以上 6.30.4 未満
|
|
React Router 7.0.0 以上 7.14.1 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月08日]
掲載 |
June 8, 2026, 11:47 a.m. |
NVD Vulnerability Information
CVE-2026-40181
| Summary |
React Router is a router for React. In versions 7.0.0 through 7.14.0 and 6.7.0 through 6.30.3, certain URLs passed to the redirect function can trigger an open redirect to an external domain due to path values starting with // being reinterpreted as protocol-relative URLs. The level of impact depends on the validation done by the application prior to returning the redirect. This does not impact applications using Declarative Mode (<BrowserRouter>). This is patched in versions 7.14.1 and 6.30.4.
|
| Publication Date |
June 3, 2026, 5:16 a.m. |
| Registration Date |
June 4, 2026, 4:15 a.m. |
| Last Update |
June 5, 2026, 3:46 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:shopify:react-router:*:*:*:*:*:node.js:*:* |
6.7.0 |
|
|
6.30.4 |
| cpe:2.3:a:shopify:react-router:*:*:*:*:*:node.js:*:* |
7.0.0 |
|
|
7.14.1 |
Related information, measures and tools
Common Vulnerabilities List