CVE-2026-102989

GitHubCrítica, npm

TanStack Router: XSS refletido não autenticado nas respostas de função de servidor do TanStack Start

Traduzido automaticamente do inglês.

Um atacante não autenticado pode criar uma URL para uma função de servidor em um aplicativo TanStack Start afetado. Se alguém abrir o link, o aplicativo pode retornar HTML controlado pelo atacante de sua própria origem e executar o JavaScript do atacante. O script pode acessar dados de mesma origem disponíveis para aquele visitante e fazer solicitações com sua autoridade.

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.3 (v3.1)
EPSS: 0,52% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: @tanstack/start-server-core (npm) >= 1.143.12, < 1.169.39, corrigido em 1.169.39 · GHSA-qx66-fv34-fjm8
@tanstack/react-start (npm) >= 1.143.12, < 1.168.60, corrigido em 1.168.60 · GHSA-qx66-fv34-fjm8
@tanstack/solid-start (npm) >= 1.143.12, < 1.168.57, corrigido em 1.168.57 · GHSA-qx66-fv34-fjm8
@tanstack/vue-start (npm) >= 1.143.12, < 1.168.56, corrigido em 1.168.56 · GHSA-qx66-fv34-fjm8