CVE-2025-11953
KritikAktif istismar ediliyor (CISA KEV)
Açıklama
React Native Community CLI tarafından açılan Metro Development Server, varsayılan olarak harici arayüzlere bağlanır. Sunucu, OS komut enjeksiyonuna karşı savunmasız bir uç nokta sunmaktadır. Bu durum, kimliği doğrulanmamış ağ saldırganlarının sunucuya bir POST isteği göndermesine ve rastgele yürütülebilir dosyalar çalıştırmasına olanak tanır. Windows üzerinde saldırganlar, tamamen kontrol edilen argümanlarla rastgele kabuk komutları da çalıştırabilirler.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünReact Native Community CLI
Yayın3 Kas 2025
İlk görülme3 Kas 2025
KEV'e eklenme5 Şub 2026
Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu
Nasıl düzeltilir
CISA'nın istediği eylem
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 26 Şub 2026Güncelleyin
- react-native-community react_native_community_cli19.1.2 ya da sonraki bir sürüm
- @react-native-community/cli20.0.0, 19.1.2, 18.0.1 ya da sonraki bir sürüm
- @react-native-community/cli-server-api20.0.0, 19.1.2, 18.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| react-native-community react_native_community_cli | 19.0.0 ≤ v < 19.1.2, 18.0.0, 20.0.0 | 19.1.2 |
| @react-native-community/clinpm | 20.0.0-alpha.0 ≤ v < 20.0.0, 19.0.0-alpha.0 ≤ v < 19.1.2, 18.0.0 ≤ v < 18.0.1 | 20.0.0, 19.1.2, 18.0.1 |
| @react-native-community/cli-server-apinpm | 20.0.0-alpha.0 ≤ v < 20.0.0, 19.0.0-alpha.0 ≤ v < 19.1.2, 18.0.0 ≤ v < 18.0.1 | 20.0.0, 19.1.2, 18.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.