boroeurnprach/cve-2025-11953-pocCVE-2025-11953 - Die standardmäßige externe Bindung des React Native Metro-Servers legt einen verwundbaren Endpunkt offen, der es nicht authentifizierten Angreifern ermöglicht, beliebige Betriebssystembefehle über eine bösartige POST-Anfrage auszuführen.
Der Metro Development Server, der von der React Native Community CLI gestartet wird, bindet standardmäßig an externe Schnittstellen. Der Server stellt einen Endpunkt bereit, der anfällig für OS-Befehlsinjektion ist. Dadurch können nicht authentifizierte Netzwerkangreifer eine POST-Anfrage an den Server senden und beliebige ausführbare Dateien ausführen. Unter Windows können die Angreifer außerdem beliebige Shell-Befehle mit vollständig kontrollierten Argumenten ausführen.
| Produkt | Schweregrad | Betroffene Versionen | Behobene Version |
|---|
| @react-native-community/cli | Critical (9.8) | 4.8.0 - 20.0.0‑alpha.2 | 20.0.0 |
npm install
node vuln_server.js
poc.py für Linux und windows_PoC.py für Windows):python3 windows_PoC.py
![[Pasted image 20260121090252.png]](https://github.com/boroeurnprach/CVE-2025-11953-PoC/blob/main/Asset/Pasted%20image%2020260121090252.png)