CVE-2026-102989

TanStack Router: Unauthenticated reflected XSS in TanStack Start server-function responses

CVSS 3.1Critical

9.3/ 10.0

Опубликовано

13 октября 2026 г.

Обновлено

14 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ release-2026-09-30-1747, 1.168.60, 1.168.57, 1.169.39, 1.168.56

Обновите пакеты до безопасных версий: @tanstack/start-server-core до 1.169.39, @tanstack/react-start до 1.168.60, @tanstack/solid-start до 1.168.57, @tanstack/vue-start до 1.168.56.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Отраженная XSS без аутентификации в серверных функциях TanStack Start фреймворка TanStack Router. Уязвимость позволяет возвращать произвольный HTML от origin приложения.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Из-за некорректной обработки непубличных полей в полезной нагрузке запроса к серверной функции контролируемое атакующим состояние middleware попадает в обработчик ошибок. Фреймворк принимает сформированный объект как валидный HTTP-ответ, отдавая клиентский код злоумышленника.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного JavaScript-кода в контексте origin уязвимого приложения при переходе жертвы по ссылке, кража данных текущей сессии и отправка неавторизованных запросов.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

TanStackrouter

все ранние➔Fix: release-2026-09-30-1747

@tanstackreact-start

>= 1.143.12➔Fix: 1.168.60

@tanstacksolid-start

>= 1.143.12➔Fix: 1.168.57

@tanstackstart-server-core

>= 1.143.12➔Fix: 1.169.39

@tanstackvue-start

>= 1.143.12➔Fix: 1.168.56

——

>= 1.143.12➔Fix: 1.169.39

——

>= 1.143.12➔Fix: 1.168.60

——

>= 1.143.12➔Fix: 1.168.57

——

>= 1.143.12➔Fix: 1.168.56

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-102989: TanStack Router: Unauthenticated reflected XSS in TanStack Start server-function responses. URL: https://cve.futuretools.ru/cve/CVE-2026-102989

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_102989,
  title = {{CVE-2026-102989: TanStack Router: Unauthenticated reflected XSS in TanStack Start server-function responses}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-102989}},
  note = {Оперативный инженерный анализ киберугроз}
}