- Aktif istismar
- Yama var
- CWE-78
CVE-2025-11953
React Native Community CLI Metro sunucusunda işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 359 gün
- Kaydı açan
- JFROG
Yönetici özeti
Mobil uygulama geliştirme ortamlarında kullanılan bir araçtaki bu açık, aynı ağdaki herhangi birinin geliştirici bilgisayarında izinsiz komut çalıştırmasına imkân tanıyor. Açık aktif olarak istismar edildiği için CISA tarafından bilinen istismar edilen açıklar listesine alınmıştır. Güncellemenin ivedilikle yapılması ve geliştirme sunucularının ağa açık bırakılmaması gerekir.
ÖzetTürkçe
React Native Community CLI tarafından başlatılan Metro Geliştirme Sunucusu varsayılan olarak dış ağ arayüzlerine bağlanmaktadır. Sunucunun sunduğu bir uç nokta işletim sistemi komut enjeksiyonuna açıktır. Kimlik doğrulaması olmadan gönderilen bir POST isteğiyle rastgele çalıştırılabilir dosyalar çalıştırılabilir; Windows üzerinde ise argümanları tamamen saldırgan tarafından belirlenen kabuk komutları da yürütülebilir. @react-native-community/cli-server-api paketinin 4.8.0 ile 20.0.0 öncesi sürümleri etkilenmektedir.
Saldırgan ne yapabilir?
Ağdan erişebilen kimliği doğrulanmamış bir saldırgan, geliştirme sunucusunun çalıştığı makinede uzaktan kod çalıştırabilir. Bu durum sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Metro Development Server, which is opened by the React Native Community CLI, binds to external interfaces by default. The server exposes an endpoint that is vulnerable to OS command injection. This allows unauthenticated network attackers to send a POST request to the server and run arbitrary executables. On Windows, the attackers can also execute arbitrary shell commands with fully controlled arguments.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- @react-native-community/cli-server-api paketini 20.0.0 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme hemen yapılamıyorsa Metro geliştirme sunucusunu yalnızca yerel arayüze bağlı çalıştırın ve dış ağdan erişimi güvenlik duvarıyla engelleyin. Genel öneri
- Satıcı talimatlarına göre önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını bırakın. CISA
Ek önlemler
- Geliştirme sunucularını halka açık veya paylaşımlı ağlarda (kafe, ortak ofis Wi-Fi vb.) çalıştırmaktan kaçının. Genel öneri
- Geliştirme makinelerinde beklenmeyen süreç oluşumlarını ve dışarıdan gelen POST isteklerini izleyin. Genel öneri
- Sunucunun açık olduğu dönemde erişilmiş olabilecek makinelerde gizli anahtarları ve erişim bilgilerini gözden geçirip gerekirse yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @react-native-community/cli-server-api | ≥ 4.8.0, < 20.0.0 | 20.0.0 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/15089907d1f1301b22c72d7f68846a2ef20df547 Yama
- x.com/SzymonRybczak/status/1986199665000566848 Üçüncü taraf
- x.com/thymikee/status/1986770875954475375 Üçüncü taraf
- vulncheck.com/blog/metro4shell_eitw İstismar kodu ya da analiz
- jfrog.com/…tical-react-native-community-cli-vulnerability Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
- github.com/react-native-community/cli/pull/2735 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.