「React Native CLI」に脆弱性 - 外部よりコマンド実行のおそれ

JavaScriptとReactを用いて複数のプラットフォーム向けにアプリを開発できるフレームワーク「React Native」のコマンドラインインタフェースに脆弱性が明らかとなった。

「React Native CLI」より開発サーバ「Metro Development Server」を起動した環境において、第三者によるコマンド実行が可能となる脆弱性「CVE-2025-11953」が明らかとなったもの。脆弱性を発見したJFrogが報告した。

サーバ起動時にデフォルトで「React Native CLI」が外部インタフェースにバインドされ、サーバの公開対象となっているエンドポイント環境よりコマンドの実行が可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

Windows環境では、任意のOSコマンドが実行可能。macOSやLinuxにおいてもパラメータの制限はあるものの、任意の実行ファイルを実行できる。

同脆弱性は、「cli-server-api 20.0.0」にて修正されており、利用者にアップデートが呼びかけられている。

（Security NEXT - 2025/11/06 ）ツイート