Se ha descubierto una vulnerabilidad crítica en el popular paquete de npm ‘@react-native-community/cli’ que podría permitir la ejecución remota de comandos maliciosos del sistema operativo (SO) bajo ciertas condiciones. Esta vulnerabilidad, identificada como CVE-2025-11953 y con una puntuación CVSS de 9.8, afecta a las versiones 4.8.0 a 20.0.0-alpha.2 del paquete ‘@react-native-community/cli-server-api’. La vulnerabilidad reside en el punto final ‘/open-url’ del servidor de desarrollo Metro, utilizado por React Native. Este punto final maneja una solicitud POST que incluye una entrada del usuario que se pasa a la función `open()` no segura del paquete `open` de NPM, lo que provoca la ejecución de comandos del sistema operativo. Un atacante remoto no autenticado podría enviar una solicitud POST especialmente diseñada para ejecutar comandos arbitrarios en el servidor. En Windows, los atacantes pueden ejecutar comandos de shell arbitrarios con argumentos totalmente controlados, mientras que en Linux y macOS, se puede abusar para ejecutar binarios arbitrarios con un control de parámetros limitado.

La vulnerabilidad ya ha sido parcheada en la versión 20.0.0, lanzada el mes pasado. Se recomienda encarecidamente a los desarrolladores que utilizan React Native con Metro como servidor de desarrollo que actualicen a la última versión lo antes posible.

Esta vulnerabilidad subraya la importancia de la seguridad en la cadena de suministro de software y la necesidad de análisis de seguridad automatizados y exhaustivos para identificar y mitigar las vulnerabilidades antes de que puedan ser explotadas.

Fuente original: Ver aquí