p PatchFirst

CVE-2025-11953

CVE-2025-11953 · Command injection in React Native Community CLI allows remote attackers to perform remote code execution by sending HTTP requests

CVSS 9.8 · Критический · EPSS 94,0% · В каталоге KEV · Публичный эксплойт · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls @react-native-community/cli
npm ls @react-native-community/cli-server-api

Бесплатная проверка подсветит, требует ли внимания @react-native-community/cli и остальные зависимости: проверьте lock-файл проекта или весь сервер командой ниже. Без регистрации. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить зависимости бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The Metro Development Server, which is opened by the React Native Community CLI, binds to external interfaces by default. The server exposes an endpoint that is vulnerable to OS command injection. This allows unauthenticated network attackers to send a POST request to the server and run arbitrary executables. On Windows, the attackers can also execute arbitrary shell commands with fully controlled arguments.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

Первоисточники

Проверьте свой сервер →