TanStack Router: XSS reflejado no autenticado en respuestas de funciones del servidor en TanStack Start
Impacto
Un atacante no autenticado puede crear una URL maliciosa hacia una función del servidor en una aplicación TanStack Start afectada. Si un usuario abre dicho enlace, la aplicación puede devolver HTML controlado por el atacante desde su propio origen y ejecutar código JavaScript en el navegador de la víctima. El script puede acceder a los datos del mismo origen disponibles para el usuario y realizar solicitudes con sus permisos.
Causa
El mecanismo de transporte de las funciones del servidor puede pasar campos de la carga útil de la solicitud al estado interno del middleware en lugar de limitarlos a campos de entrada públicos. Una carga útil malformada puede dejar un resultado controlado por el atacante en la ruta de error. Posteriormente, el procesamiento de la respuesta puede tratar un objeto con estructura de respuesta como una respuesta HTTP real.
Versiones afectadas
Las versiones publicadas de @tanstack/start-server-core, @tanstack/react-start, @tanstack/solid-start y @tanstack/vue-start desde 1.143.12 hasta, pero sin incluir, sus respectivas versiones parcheadas se ven afectadas. Las versiones corregidas son @tanstack/start-server-core@1.169.39, @tanstack/react-start@1.168.60, @tanstack/solid-start@1.168.57 y @tanstack/vue-start@1.168.56.
Solución
La corrección limita las entradas de funciones del servidor proporcionadas por el cliente a campos públicos y valida las respuestas en el límite del servidor. Actualice a la versión corregida correspondiente del paquete.
Mitigaciones temporales
Para la ruta configurada de la función del servidor, normalmente /_serverFn/*, una regla de WAF o perimetral puede considerar el bloqueo de solicitudes sin el encabezado literal x-tsr-serverFn: true y navegaciones de documentos del navegador como Sec-Fetch-Mode: navigate o Accept: text/html. Una política de seguridad de contenido (CSP) restrictiva en las respuestas de las funciones del servidor puede proporcionar una restricción adicional en el navegador. Estas son sugerencias de mitigación y no una solución definitiva; el encabezado está bajo control del cliente y no equivale a autenticación. Pruebe las reglas con funciones de servidor legítimas GET y POST, y aplique parches adaptados para su versión cuando sea posible.
Créditos
Lovable colaboró en el descubrimiento y reporte de este problema.
Qué hacer
Actualice @tanstack/start-server-core, @tanstack/react-start, @tanstack/solid-start y @tanstack/vue-start a las versiones corregidas @tanstack/start-server-core@1.169.39, @tanstack/react-start@1.168.60, @tanstack/solid-start@1.168.57 y @tanstack/vue-start@1.168.56. De forma temporal, se pueden configurar reglas perimetrales o de WAF para /_serverFn/* que bloqueen peticiones sin x-tsr-serverFn: true o con navegación Sec-Fetch-Mode: navigate/Accept: text/html, además de implementar una CSP restrictiva.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @tanstack/react-start | >= 1.143.12, < 1.168.60 | 1.168.60 |
| Paquete de npm | @tanstack/solid-start | >= 1.143.12, < 1.168.57 | 1.168.57 |
| Paquete de npm | @tanstack/start-server-core | >= 1.143.12, < 1.169.39 | 1.169.39 |
| Paquete de npm | @tanstack/vue-start | >= 1.143.12, < 1.168.56 | 1.168.56 |
Referencias
- https://github.com/TanStack/router/security/advisories/GHSA-qx66-fv34-fjm8
- https://nvd.nist.gov/vuln/detail/CVE-2026-102989
- https://github.com/TanStack/router/pull/8573
- https://github.com/TanStack/router/commit/d521abd71c69f1ff010bb3def4d417cb5fa058cb
- https://github.com/TanStack/router
- https://github.com/TanStack/router/releases/tag/release-2026-09-30-1747
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N- Debilidad (CWE)
CWE-79- Plataforma
- npm
- Paquete
@tanstack/react-start, @tanstack/solid-start, @tanstack/start-server-core- Publicada
- 15.10.2026
- Actualizado
- 15.10.2026 23:19
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-qx66-fv34-fjm8 - CC BY 4.0
Historial de vulnerabilidades: @tanstack/react-start
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 05.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 1
Distribución por gravedad
- Crítica 2
Divulgaciones por año
- 2026: 2
-
TanStack Router: XSS reflejado no autenticado en respuestas de funciones del servidor en TanStack Start esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.