TanStack CVE-2026-102989（CVSS 9.3）反射型 XSS 漏洞波及月下载量达 9800 万的生态系统

sec随谈
sec随谈

sec随谈

2026年10月14日 09:02
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

摘要
TanStack 已修复 CVE-2026-102989，这是一个未经身份验证的反射型 XSS 漏洞，CVSS 评分为 9.3。这个 TanStack Start 漏洞可使一个特制链接在应用自身的域名下运行攻击者的 JavaScript。补丁包现已发布。

为何重要
TanStack 为 React、Solid 和 Vue 应用构建了被广泛使用的工具。据该项目称，其 Router 包每月的 npm 下载量超过 9800 万次。基于它构建的全栈框架 TanStack Start 存在该漏洞。

TanStack 安全公告警告称，该脚本可以访问该访客可获取的同源数据，并以其身份发起请求。

攻击原理
攻击者构造一个针对受影响应用中某个服务器函数的 URL。当受害者打开该链接时，服务器在处理格式错误的请求时存在缺陷，导致攻击者可控的 HTML 从应用自身的源（origin）返回。用公告的话说，应用可能从自身的源返回攻击者可控的 HTML，并在其中运行攻击者的 JavaScript。无需登录。

哪些对象面临风险
任何暴露了服务器函数的公开 TanStack Start 应用都可能成为目标。由于这是一个反射型 XSS 漏洞，攻击者只需诱使受害者点击链接即可。钓鱼邮件和聊天消息是可能的传播途径。

利用情况
目前尚未确认存在真实环境中的利用，同样，也没有确认的公开概念验证（PoC）。

受影响版本
以下软件包中，从 1.143.12 起至已修复版本之前的版本均受影响：

• @tanstack/start-server-core（已在 1.169.39 中修复）
• @tanstack/react-start（已在 1.168.60 中修复）
• @tanstack/solid-start（已在 1.168.57 中修复）
• @tanstack/vue-start（已在 1.168.56 中修复）

补丁与缓解措施

• 升级到适用于你所用框架的已修复软件包版本。
• 如果暂时无法更新，请在服务器函数路径上添加 WAF 或边缘规则，并启用严格的内容安全策略（CSP）。

TanStack 强调，这些临时措施只是缓解建议，并非完整的修复方案。对于这一 TanStack Start 漏洞，升级仍然是唯一的彻底解决办法。

参考链接：

https://github.com/TanStack/router/security/advisories/GHSA-qx66-fv34-fjm8