PT-2025-44787 · Unknown · React Native Community Cli+1

Publicado 2025-08-04 · Atualizado 2026-05-21 · CVE-2025-11953

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas @react-native-community/cli-server-api versões 4.8.0 até 20.0.0-alpha.2 @react-native-community/cli versões 4.8.0 até 20.0.0-alpha.2

Descrição Uma falha de injeção de comando de SO existe no Metro Development Server, que é aberto pelo React Native Community CLI. O servidor vincula-se a interfaces externas por padrão, permitindo que atacantes de rede não autenticados enviem uma requisição POST especialmente formatada para o endpoint '/open-url'. A vulnerabilidade ocorre porque o parâmetro url no corpo da requisição é passado para a função open() sem a devida validação ou sanitização. No Windows, isso permite a execução de comandos de shell arbitrários com argumentos totalmente controlados. No Linux e macOS, pode levar à execução de executáveis arbitrários ou à exploração de esquemas de URI (como file://). Aproximadamente 3.500 servidores desprotegidos foram identificados globalmente. A exploração no mundo real foi observada desde dezembro de 2025, onde atacantes usaram a falha para desativar o Microsoft Defender através do comando Add-MpPreference e implantar malware baseado em Rust em estações de trabalho Windows e Linux.

Recomendações Atualize o @react-native-community/cli-server-api e o @react-native-community/cli para a versão 20.0.0 ou posterior. Como solução temporária, inicie o servidor Metro vinculado apenas ao localhost usando o comando npx react-native start --host 127.0.0.1 para bloquear o acesso externo. Restrinja o acesso ao endpoint '/open-url' usando regras de IDS/WAF para bloquear requisições POST onde o parâmetro url não comece com http:// ou https://.

Exploit

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2026-01467

CVE-2025-11953

GHSA-399J-VXMF-HJVR

Produtos afetados

Metro Development Server

React Native Community Cli

Referências · 131

• 🔥 https://jfrog.com/blog/cve-2025-11953-critical-react-native-community-cli-vulnerability · Exploit
• 🔥 https://vulncheck.com/blog/metro4shell_eitw · Exploit
• https://github.com/react-native-community/cli/commit/15089907d1f1301b22c72d7f68846a2ef20df547 · Correção
• https://github.com/react-native-community/cli/issues/2733#issuecomment-3502424164 · Nota
• https://github.com/react-native-community/cli/commit/5a792169d9883e0b0fb1ddf1ea46778f21510d18 · Nota
• https://github.com/react-native-community/cli?tab=readme-ov-file#compatibility · Nota
• https://github.com/react-native-community/cli/releases/tag/v20.0.0 · Nota
• https://github.com/react-native-community/cli/commit/9e1fa8cc633e5dcf32244ffa60a871880be56722 · Nota
• https://github.com/react-native-community/cli · Nota
• https://github.com/react-native-community/cli/commit/a8293dc29425f56249753507bc24d87b698d46e1 · Nota
• https://github.com/react-native-community/cli/pull/1615 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-11953 · Nota de Segurança
• https://twitter.com/penligent/status/1988187103214326242 · Publicação no Twitter
• https://twitter.com/Strivehawk/status/2018782927304511789 · Publicação no Twitter
• https://twitter.com/AtworkCody/status/2020196031057863134 · Publicação no Twitter