CVE-2025-31137

highPriorität · verfolgen · 10EPSS 0.012 · 68. PerzentilExploit · PoCEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

1.19% (68th) EPSS

CVSS 7.5 · high

Is it mine?

6 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

React Router is a multi-strategy router for React bridging the gap from React 18 to React 19. There is a vulnerability in Remix/React Router that affects all Remix 2 and React Router 7 consumers using the Express adapter. Basically, this vulnerability allows anyone to spoof the URL used in an incoming Request by putting a URL pathname in the port section of a URL that is part of a Host or X-Forwarded-Host header sent to a Remix/React Router request handler. This issue has been patched and released in Remix 2.16.3 and React Router 7.4.1.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.07.5highCVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · ENISA EU

v3.07.5highCVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · security-advisories@github.comAusnutzbarkeit 3.9 · Auswirkung 3.6

v3.07.5highCVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · OSV

v3.17.5highAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · FSTEC (BDU) RU

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-444USCWE-444USCWE-444US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

pouriam23/vulnerability-in-Remix-React-Router-CVE-2025-31137-pouriam23/vulnerability-in-Remix-React-Router-CVE-2025-31137-PoC · poc_in_github

betroffene Produkte (6)

Betroffene Produkte und Versionsbereiche.

remix-run react-router2.11.1, → 2.16.3enisa_euvdEU
remix-run react-router7.0.0, → 7.4.1enisa_euvdEU
Сообщество свободного программного обеспечения React Router7.0.0 → 7.4.1fstec_bduRU
Сообщество свободного программного обеспечения Remix2.11.1 → 2.16.3fstec_bduRU
npm @react-router/express7.0.0 → 7.4.1osvUSpkg:npm/%40react-router/express
npm @remix-run/express2.11.1 → 2.16.3osvUSpkg:npm/%40remix-run/express

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-4q56-crqp-v477Remix and React Router allow URL manipulation via Host / X-Forwarded-Host headers2025-04-01ghsa · osvUS
### Impact We received a report about a vulnerability in Remix/React Router that affects all Remix 2 and React Router 7 consumers using the Express adapter. Basically, this vulnerability allows anyone to spoof the URL used in an incoming `Request` by putting a URL pathname in the port section of a URL that is part of a `Host` or `X-Forwarded-Host` header sent to a Remix/React Router request handler. ### Patches This issue has been patched and released in Remix 2.16.3 React Router 7.4.1. ### Credits - Rachid Allam (zhero;) - Yasser Allam (inzo_)

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv NVD CVE.org MITRE

veröffentlicht 2025-04-01geändert 2026-06-17

Referenzen (4)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan