TanStack Start: Reflected Cross-Site Scripting in Server-Function-Antworten
Zusammenfassung
Mehrere TanStack-Start-Pakete erlauben es einem nicht authentifizierten Angreifer, eine Server-Function-Anfrage so zu manipulieren, dass der Server vom Angreifer kontrolliertes HTML über den Ursprung der Anwendung ausliefert. Öffnet ein Besucher eine solche präparierte URL, kann eingeschleuster Script-Code auf Daten derselben Herkunft zugreifen und Anfragen mit den Berechtigungen des Besuchers senden. Der Angriff setzt voraus, dass das Opfer einen manipulierten Link öffnet; der CVSS-Wert beträgt 9.3 (kritisch).
Betroffen
- @tanstack/start-server-core ab 1.143.12 vor 1.169.39
- @tanstack/react-start ab 1.143.12 vor 1.168.60
- @tanstack/solid-start ab 1.143.12 vor 1.168.57
- @tanstack/vue-start ab 1.143.12 vor 1.168.56
Behoben in
- @tanstack/start-server-core 1.169.39
- @tanstack/react-start 1.168.60
- @tanstack/solid-start 1.168.57
- @tanstack/vue-start 1.168.56
Umgehung
Unbekannt. Ein Upgrade ist die vom Hersteller empfohlene Massnahme. Edge- oder WAF-Regeln auf dem Server-Function-Pfad sowie eine restriktive Content-Security-Policy sind nur provisorische Massnahmen und ersetzen das Patchen nicht.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine aktive Ausnutzung bestätigt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Lockfiles und Build-Pipelines auf die betroffenen Pakete prüfen, einschliesslich transitiver Versionen von @tanstack/start-server-core.
- Auf die fixen Versionen aktualisieren, neu bauen und neu ausrollen; SSR zuerst in der Testumgebung prüfen, da Drittquellen Kompatibilitätsprobleme mit Router-Versionen melden.
- Bis zur Behebung den Zugriff auf betroffene Anwendungen nach Möglichkeit einschränken und eine restriktive Content-Security-Policy setzen.
- Mitarbeitende informieren, dass präparierte Links zu diesen Anwendungen für Phishing verwendet werden können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- TanStack security update CVE-2026-102989 tanstack.com
- GitHub Security Advisory GHSA-qx66-fv34-fjm8 github.com
- Fix commit d521abd github.com
- Pull request #8573 github.com
- Release release-2026-09-30-1747 github.com
- OSV CVE-2026-102989 osv.dev
- Netlify changelog www.netlify.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.