CVE-2025-11953

Détournement du serveur de développement React Native

Une faille de sécurité (CVE-2025-11953) a été identifiée dans le package NPM @react-native-community/cli, affectant les versions 4.8.0 à 20.0.0-alpha.2. Cette vulnérabilité concerne le serveur de développement Metro utilisé par React Native.

Points clés :

• Le serveur Metro, activé par défaut, peut écouter sur des interfaces externes.
• Un endpoint “/open-url” est exposé et permet l’injection de commandes système.

Vulnérabilités :

• CVE-2025-11953 : Injection de commandes OS via l’endpoint “/open-url”. Permet à des attaquants non authentifiés sur le réseau d’exécuter des commandes arbitraires sur les systèmes cibles. L’impact est particulièrement élevé sur Windows, où des commandes shell complètes peuvent être exécutées. Des scénarios d’exécution de commandes arbitraires sont également probables sur macOS et Linux.

Recommandations :

• Mettre à jour le package @react-native-community/cli vers la version 20.0.0 ou supérieure.

Source