CVE-2026-42342

React Router vulnerable to DoS via unbounded path expansion in __manifest endpoint

CVSS 3.1 7.5 HIGHEUVD CVSS 3.1 7.5 CVSS 3.1 · [email protected] · Secondary 7.5 HIGHCVSS_V3 Publisher rating HIGHFixed by react-router 7.15.0 Fixed by @remix-run/server-runtime 2.17.5KEV status unknown

Original advisory

cve-program · CVE-2026-42342

Published

React Router is a router for React. In versions 7.0.0 through 7.14.x of react-router and versions 2.10.0 through 2.17.4 of @remix-run/server-runtime, certain crafted requests can consume disproportionate server resources via unbounded path expansion in the __manifest endpoint, resulting in response time degradation and/or service unavailability for end users. This affects React Router Framework Mode applications as well as Remix applications. This does not impact applications using Declarative Mode (`<BrowserRouter>`) or Data Mode (`createBrowserRouter/<RouterProvider>`). This is patched in react-router version 7.15.0 and @remix-run/server-runtime version 2.17.5.

Read the publisher's advisory

euvd · EUVD-2026-34000

Published

Read the publisher's advisory

nvd · CVE-2026-42342

Published

Read the publisher's advisory

osv · GHSA-8x6r-g9mw-2r78

Published

There exists a potential DOS attack vector in React Router Framework Mode applications (as well as Remix v2.10.0 - 2.17.4). Certain requests can be crafted to consume disproportionate resources on the server, resulting in response time degredation and/or service unavailability for end users. > [!NOTE] > This does not impact your React Router application if you are using [Declarative Mode](https://reactrouter.com/start/modes#declarative) (`<BrowserRouter>`) or [Data Mode](https://reactrouter.com/start/modes#data) (`createBrowserRouter`/`<RouterProvider>`).

Read the publisher's advisory

Affected versions, risk and source history

cve-program · CVE-2026-42342

Published

react-router

Vendor product

Publisher's version information

Shown as published. These rules are not interpreted as NuGet package version ranges.

{
                    "vendor": "remix-run",
                    "product": "react-router",
                    "versions": [
                        {
                            "version": ">= 7.0.0, < 7.15.0",
                            "status": "affected"
                        }
                    ]
                }

@remix-run/server-runtime

Vendor product

Publisher's version information

Shown as published. These rules are not interpreted as NuGet package version ranges.

{
                    "vendor": "remix-run",
                    "product": "@remix-run/server-runtime",
                    "versions": [
                        {
                            "version": ">= 2.10.0, < 2.17.5",
                            "status": "affected"
                        }
                    ]
                }

Original source record · Cite this exact observation · Complete original publisher JSON

euvd · EUVD-2026-34000

Published

EUVD source date text has no stated timezone and is retained without inventing a UTC instant. Related bulletin membership is not an alias, common cause or applicability claim. A missing vector with a zero score is treated as unrated. Complete vendor/product and underlying source evidence remains in the original JSON.

Original publisher date fields

datePublished: Jun 2, 2026, 6:23:02 PM

dateUpdated: Jun 3, 2026, 1:52:43 PM

11 related source bulletins · separate from aliases

SUSE-SU-2026:4606-1: Security update for golang-github-prometheus-prometheus

CVE-2023-45289 · CVE-2025-4673 · CVE-2025-61686 · CVE-2026-2303 · CVE-2026-39821 · CVE-2026-40181 · CVE-2026-42211 · CVE-2026-42342 · CVE-2026-44990 · CVE-2026-53606 · CVE-2026-56852

WID-SEC-W-2026-1955: Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und Jira Service Management: Mehrere Schwachstellen

CVE-2019-11272 · CVE-2021-3803 · CVE-2022-1471 · CVE-2022-22965 · CVE-2022-22978 · CVE-2022-31692 · CVE-2024-22257 · CVE-2025-22228 · CVE-2026-22732 · CVE-2026-24734 · CVE-2026-26996 · CVE-2026-27903 · CVE-2026-27904 · CVE-2026-29129 · CVE-2026-33870 · CVE-2026-33871 · CVE-2026-34077 · CVE-2026-34486 · CVE-2026-34487 · CVE-2026-40175 · CVE-2026-41044 · CVE-2026-41284 · CVE-2026-41293 · CVE-2026-42033 · CVE-2026-42035 · CVE-2026-42038 · CVE-2026-42043 · CVE-2026-42198 · CVE-2026-42211 · CVE-2026-42264 · CVE-2026-42342 · CVE-2026-42498 · CVE-2026-42579 · CVE-2026-42581 · CVE-2026-42583 · CVE-2026-42584 · CVE-2026-42585 · CVE-2026-42587 · CVE-2026-43512 · CVE-2026-43513 · CVE-2026-43515 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-45149 · CVE-2026-45736

RHSA-2026:41951: Red Hat Security Advisory: Red Hat Data Grid 8.6.2 security update

CVE-2026-6322 · CVE-2026-9595 · CVE-2026-12143 · CVE-2026-33245 · CVE-2026-34077 · CVE-2026-40983 · CVE-2026-40984 · CVE-2026-42211 · CVE-2026-42264 · CVE-2026-42342 · CVE-2026-42583 · CVE-2026-42586 · CVE-2026-42587 · CVE-2026-44248 · CVE-2026-44249 · CVE-2026-44250 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44890 · CVE-2026-44893 · CVE-2026-45292 · CVE-2026-45416 · CVE-2026-45674 · CVE-2026-46340 · CVE-2026-47691 · CVE-2026-48006 · CVE-2026-48043 · CVE-2026-48059 · CVE-2026-50010 · CVE-2026-50011 · CVE-2026-50193 · CVE-2026-54512 · CVE-2026-54513

RHSA-2026:56431: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.18.27 security, enhancement & bug fix update

CVE-2025-61726 · CVE-2025-61729 · CVE-2025-64718 · CVE-2025-68470 · CVE-2026-1525 · CVE-2026-1526 · CVE-2026-1527 · CVE-2026-2229 · CVE-2026-6321 · CVE-2026-6322 · CVE-2026-6733 · CVE-2026-6734 · CVE-2026-9358 · CVE-2026-9679 · CVE-2026-9697 · CVE-2026-11525 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-22036 · CVE-2026-25645 · CVE-2026-33186 · CVE-2026-33349 · CVE-2026-33671 · CVE-2026-33672 · CVE-2026-33750 · CVE-2026-34043 · CVE-2026-34986 · CVE-2026-35469 · CVE-2026-39821 · CVE-2026-40181 · CVE-2026-41305 · CVE-2026-41650 · CVE-2026-41907 · CVE-2026-42342 · CVE-2026-45409 · CVE-2026-45736 · CVE-2026-48779 · CVE-2026-48801 · CVE-2026-53550 · CVE-2026-59869

RHSA-2026:48124: Red Hat Security Advisory: Red Hat OpenShift Dev Spaces 3.29.1 Release.

CVE-2026-6734 · CVE-2026-9697 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-33245 · CVE-2026-42342 · CVE-2026-44249 · CVE-2026-44990 · CVE-2026-45149 · CVE-2026-48043 · CVE-2026-50193 · CVE-2026-54512 · CVE-2026-59869 · CVE-2026-59873 · CVE-2026-59874

RHSA-2026:56366: Red Hat Security Advisory: Red Hat OpenShift Data Foundation 4.19.22 security, enhancement & bug fix update

CVE-2025-61726 · CVE-2025-61729 · CVE-2026-6321 · CVE-2026-6322 · CVE-2026-6734 · CVE-2026-9697 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-13149 · CVE-2026-13676 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-33186 · CVE-2026-34986 · CVE-2026-42342 · CVE-2026-44740 · CVE-2026-45736 · CVE-2026-48779 · CVE-2026-53488 · CVE-2026-53489 · CVE-2026-53492 · CVE-2026-59869

RHSA-2026:60520: Red Hat Security Advisory: RHOAI 3.4.4 - Red Hat OpenShift AI

CVE-2025-66471 · CVE-2025-66626 · CVE-2025-71329 · CVE-2025-71330 · CVE-2026-0545 · CVE-2026-2614 · CVE-2026-5241 · CVE-2026-5422 · CVE-2026-6322 · CVE-2026-6734 · CVE-2026-8643 · CVE-2026-9697 · CVE-2026-12143 · CVE-2026-12151 · CVE-2026-12243 · CVE-2026-12481 · CVE-2026-13149 · CVE-2026-13311 · CVE-2026-13676 · CVE-2026-13717 · CVE-2026-14450 · CVE-2026-15154 · CVE-2026-15218 · CVE-2026-15378 · CVE-2026-15467 · CVE-2026-15581 · CVE-2026-16745 · CVE-2026-18608 · CVE-2026-18611 · CVE-2026-18617 · CVE-2026-18620 · CVE-2026-18621 · CVE-2026-18948 · CVE-2026-18951 · CVE-2026-18982 · CVE-2026-25681 · CVE-2026-27136 · CVE-2026-32280 · CVE-2026-32283 · CVE-2026-33079 · CVE-2026-33245 · CVE-2026-33811 · CVE-2026-33814 · CVE-2026-34993 · CVE-2026-35397 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-39828 · CVE-2026-39829 · CVE-2026-39830 · CVE-2026-39831 · CVE-2026-39835 · CVE-2026-40171 · CVE-2026-41672 · CVE-2026-41673 · CVE-2026-41675 · CVE-2026-42211 · CVE-2026-42215 · CVE-2026-42264 · CVE-2026-42266 · CVE-2026-42284 · CVE-2026-42305 · CVE-2026-42311 · CVE-2026-42338 · CVE-2026-42342 · CVE-2026-42499 · CVE-2026-42502 · CVE-2026-42508 · CVE-2026-42557 · CVE-2026-44017 · CVE-2026-44018 · CVE-2026-44020 · CVE-2026-44240 · CVE-2026-44244 · CVE-2026-44289 · CVE-2026-44290 · CVE-2026-44291 · CVE-2026-44292 · CVE-2026-44293 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-44513 · CVE-2026-44660 · CVE-2026-44705 · CVE-2026-44724 · CVE-2026-44727 · CVE-2026-44827 · CVE-2026-44843 · CVE-2026-45292 · CVE-2026-45623 · CVE-2026-45736 · CVE-2026-45740 · CVE-2026-45804 · CVE-2026-46595 · CVE-2026-46597 · CVE-2026-46625 · CVE-2026-47214 · CVE-2026-48526 · CVE-2026-48710 · CVE-2026-48712 · CVE-2026-48779 · CVE-2026-48801 · CVE-2026-49476 · CVE-2026-49477 · CVE-2026-49851 · CVE-2026-49978 · CVE-2026-50193 · CVE-2026-53550 · CVE-2026-54058 · CVE-2026-54060 · CVE-2026-54283 · CVE-2026-54293 · CVE-2026-55379 · CVE-2026-55380 · CVE-2026-55685 · CVE-2026-56121 · CVE-2026-56208 · CVE-2026-56209 · CVE-2026-56210 · CVE-2026-56211 · CVE-2026-58049 · CVE-2026-59197 · CVE-2026-59199 · CVE-2026-59200 · CVE-2026-59204 · CVE-2026-59205 · CVE-2026-59869 · CVE-2026-59873 · CVE-2026-59874 · CVE-2026-59884 · CVE-2026-59885 · CVE-2026-59886 · CVE-2026-64835 · CVE-2026-64849 · CVE-2026-69152 · CVE-2026-69192 · CVE-2026-69243 · CVE-2026-69244

WID-SEC-W-2026-3046: IBM Concert: Mehrere Schwachstellen

CVE-2019-19921 · CVE-2021-23337 · CVE-2024-3651 · CVE-2024-39338 · CVE-2024-45590 · CVE-2025-13465 · CVE-2025-15284 · CVE-2025-15599 · CVE-2025-22874 · CVE-2025-47273 · CVE-2025-47907 · CVE-2025-52881 · CVE-2025-53643 · CVE-2025-55184 · CVE-2025-58056 · CVE-2025-58188 · CVE-2025-58189 · CVE-2025-61723 · CVE-2025-61730 · CVE-2025-64649 · CVE-2025-64756 · CVE-2025-67221 · CVE-2025-68121 · CVE-2025-68146 · CVE-2026-0540 · CVE-2026-2327 · CVE-2026-23490 · CVE-2026-23897 · CVE-2026-2391 · CVE-2026-23949 · CVE-2026-24486 · CVE-2026-25528 · CVE-2026-25547 · CVE-2026-25639 · CVE-2026-25990 · CVE-2026-26007 · CVE-2026-26019 · CVE-2026-26996 · CVE-2026-27142 · CVE-2026-27212 · CVE-2026-27699 · CVE-2026-27903 · CVE-2026-27904 · CVE-2026-28684 · CVE-2026-29063 · CVE-2026-29181 · CVE-2026-2950 · CVE-2026-31808 · CVE-2026-31900 · CVE-2026-32274 · CVE-2026-32288 · CVE-2026-32597 · CVE-2026-32630 · CVE-2026-32887 · CVE-2026-32952 · CVE-2026-33186 · CVE-2026-33532 · CVE-2026-33750 · CVE-2026-33814 · CVE-2026-33816 · CVE-2026-33916 · CVE-2026-34043 · CVE-2026-34073 · CVE-2026-34077 · CVE-2026-3520 · CVE-2026-35469 · CVE-2026-35515 · CVE-2026-3627 · CVE-2026-39823 · CVE-2026-39825 · CVE-2026-39826 · CVE-2026-39892 · CVE-2026-39984 · CVE-2026-40175 · CVE-2026-40179 · CVE-2026-40181 · CVE-2026-40190 · CVE-2026-40347 · CVE-2026-41066 · CVE-2026-41182 · CVE-2026-41238 · CVE-2026-41239 · CVE-2026-41240 · CVE-2026-41305 · CVE-2026-41324 · CVE-2026-41425 · CVE-2026-41481 · CVE-2026-41488 · CVE-2026-41602 · CVE-2026-41636 · CVE-2026-42151 · CVE-2026-42154 · CVE-2026-42198 · CVE-2026-42211 · CVE-2026-42338 · CVE-2026-42342 · CVE-2026-42561 · CVE-2026-42577 · CVE-2026-43870 · CVE-2026-44405 · CVE-2026-44431 · CVE-2026-44432 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44496 · CVE-2026-44728 · CVE-2026-4539 · CVE-2026-45409 · CVE-2026-45736 · CVE-2026-46625 · CVE-2026-4800 · CVE-2026-4923 · CVE-2026-4926 · CVE-2026-7246 · CVE-2026-8723

RHSA-2026:42085: Red Hat Security Advisory: RHTAS 1.3.6 - Red Hat Trusted Artifact Signer Release

CVE-2026-42211 · CVE-2026-42342 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44496 · CVE-2026-55603

SUSE-SU-2026:4585-1: Security update 5.2.1 for Multi-Linux Manager Client Tools

CVE-2023-45289 · CVE-2024-22195 · CVE-2025-13836 · CVE-2025-4673 · CVE-2025-61686 · CVE-2026-0864 · CVE-2026-11940 · CVE-2026-11972 · CVE-2026-1229 · CVE-2026-13346 · CVE-2026-14199 · CVE-2026-1502 · CVE-2026-15308 · CVE-2026-1703 · CVE-2026-17033 · CVE-2026-17183 · CVE-2026-19197 · CVE-2026-19475 · CVE-2026-21723 · CVE-2026-2303 · CVE-2026-27459 · CVE-2026-3219 · CVE-2026-3276 · CVE-2026-33814 · CVE-2026-3446 · CVE-2026-3479 · CVE-2026-39821 · CVE-2026-39882 · CVE-2026-40181 · CVE-2026-40475 · CVE-2026-41066 · CVE-2026-41178 · CVE-2026-41606 · CVE-2026-42127 · CVE-2026-42211 · CVE-2026-42342 · CVE-2026-4360 · CVE-2026-44431 · CVE-2026-44990 · CVE-2026-45409 · CVE-2026-4786 · CVE-2026-49825 · CVE-2026-49853 · CVE-2026-49854 · CVE-2026-49855 · CVE-2026-53606 · CVE-2026-56852 · CVE-2026-6019 · CVE-2026-6100 · CVE-2026-6357 · CVE-2026-7210 · CVE-2026-73501 · CVE-2026-7774 · CVE-2026-8328 · CVE-2026-8595 · CVE-2026-8609 · CVE-2026-8643 · CVE-2026-9029

RHSA-2026:50300: Red Hat Security Advisory: Migration Toolkit for Applications

CVE-2026-4926 · CVE-2026-12143 · CVE-2026-13149 · CVE-2026-25681 · CVE-2026-26996 · CVE-2026-27136 · CVE-2026-27904 · CVE-2026-33811 · CVE-2026-39820 · CVE-2026-39821 · CVE-2026-40895 · CVE-2026-42039 · CVE-2026-42041 · CVE-2026-42044 · CVE-2026-42264 · CVE-2026-42342 · CVE-2026-42499 · CVE-2026-42504 · CVE-2026-44486 · CVE-2026-44487 · CVE-2026-44488 · CVE-2026-44492 · CVE-2026-44494 · CVE-2026-44495 · CVE-2026-44496 · CVE-2026-55603

No normalized affected-package data is projected for this source revision. The original publisher record may contain additional product and version evidence; this does not establish that a package is unaffected.

Original source record · Cite this exact observation · Complete original publisher JSON

nvd · CVE-2026-42342

Published

NVD analysis and CPE criteria are source context, not proof that a package or your environment is affected. Complete affected data, logical configurations and SSVC are retained in the original JSON.

Source analysis status: Analyzed

Weakness classifications: CWE-400

Original publisher date fields

published: 2026-06-02T20:16:36.693

lastModified: 2026-07-21T19:10:00.107

2 source CPE criteria · context only

cpe:2.3:a:shopify:react-router:*:*:*:*:*:node.js:*:*
cpe:2.3:a:shopify:remix-run\/server-runtime:*:*:*:*:*:node.js:*:*

The original JSON retains the logical configuration operators, exclusions and version bounds.

Original source record · Cite this exact observation · Complete original publisher JSON

osv · GHSA-8x6r-g9mw-2r78

Published

react-router

npm

SEMVER · introduced 7.0.0 → fixed 7.15.0

@remix-run/server-runtime

npm

SEMVER · introduced 2.10.0 → fixed 2.17.5

Original source record · Cite this exact observation · Complete original publisher JSON