Bulletin d'alerte

Résumé

Une faille de sécurité critique a été découverte dans React Native Community CLI, le package npm @react-native-community/cli, largement utilisé par les développeurs pour créer des applications mobiles. Référencée sous CVE-2025-11953 et surnommée « Metro4Shell », cette vulnérabilité permet à un attaquant non authentifié d’exécuter à distance du code malveillant. Le serveur de développement Metro intégré dans ce package expose un endpoint /open-url qui permet à n’importe quel attaquant connecté au même réseau ou sur Internet d’envoyer des requêtes spécialement conçues et de lancer des commandes du système d’exploitation.

Le problème est aggravé par le fait que ce package est téléchargé environ 2 millions de fois par semaine, ce qui signifie que potentiellement des millions de développeurs sont exposés à cette faille.

Solutions

Mettez à jour sans délai le package @react-native-community/cli vers la version 20.0.0 ou supérieure. Pour cela, exécutez la commande : npm install @react-native-community/cli@latest dans votre projet.

De plus, assurez-vous que votre serveur de développement Metro n’est jamais exposé sur Internet. Ne laissez pas ce serveur accessible de l’extérieur de votre réseau local.