CVE-2018-6341

React applications which rendered to HTML using the ReactDOMServer API were not escaping user-supplied attribute names at render-time.

CVSS 3.1Medium

6.1/ 10.0

Опубликовано

31 декабря 2018 г.

Обновлено

6 мая 2025 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 16.0.1, 16.1.2, 16.2.1, 16.3.3, 16.4.2

Обновите React до версий 16.0.1, 16.1.2, 16.2.1, 16.3.3 или 16.4.2 в зависимости от используемой минорной ветки.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

XSS в SSR-рендере React через отсутствие экранирования имен HTML-атрибутов в ReactDOMServer.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Методы рендеринга на стороне сервера ReactDOMServer не выполняют экранирование передаваемых пользователем названий атрибутов тегов при формировании HTML-разметки.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Внедрение вредоносных скриптов и выполнение произвольного JS-кода на стороне клиента после SSR-рендеринга страниц.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Facebookreact-dom

>= 16.4.0➔Патч не выпущен

Facebookreact-dom

>= 16.3.0➔Патч не выпущен

Facebookreact-dom

>= 16.2.0➔Патч не выпущен

Facebookreact-dom

>= 16.1.0➔Патч не выпущен

Facebookreact-dom

>= 16.0.0➔Патч не выпущен

——

>= 16.0.0➔Fix: 16.0.1

——

>= 16.1.0➔Fix: 16.1.2

——

>= 16.2.0➔Fix: 16.2.1

——

>= 16.3.0➔Fix: 16.3.3

——

>= 16.4.0➔Fix: 16.4.2

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

reactjs.orghttps://reactjs.org/blog/2018/08/01/react-v-16-4-2.html
twitter.comhttps://twitter.com/reactjs/status/1024745321987887104
github.comhttps://github.com/diwangs/react16-ssr

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2018-6341: React applications which rendered to HTML using the ReactDOMServer API were not escaping user-supplied attribute names at render-time.. URL: https://cve.futuretools.ru/cve/CVE-2018-6341

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2018_6341,
  title = {{CVE-2018-6341: React applications which rendered to HTML using the ReactDOMServer API were not escaping user-supplied attribute names at render-time.}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2018-6341}},
  note = {Оперативный инженерный анализ киберугроз}
}