Vulnerabilidade crítica em pacote npm permite execução arbitrária de código

A JFrog divulgou detalhes de uma vulnerabilidade crítica que afeta um popular pacote npm do React Native, um framework de código aberto utilizado na criação de aplicações móveis, desktop e web.

A falha, descoberta pelos investigadores da JFrog e identificada como CVE-2025-11953, reside no pacote NPM React Native Community Command Line Interface (CLI), que regista aproximadamente dois milhões de downloads por semana.

Segundo a JFrog, a vulnerabilidade representa um risco significativo para os developers. A falha permite que agentes maliciosos não autenticados executem comandos arbitrários no servidor de desenvolvimento, controlando parâmetros através de pedidos POST enviados para o alvo.

“Ao contrário das vulnerabilidades típicas nos servidores de desenvolvimento, que só podem ser exploradas a partir da máquina local do programador, um segundo problema de segurança que a equipa identificou no código-fonte principal do React Native expõe o servidor de desenvolvimento a ataques externos à rede – tornando a vulnerabilidade anterior um problema extremamente crítico”, alerta a JFrog.

Os investigadores conseguiram explorar a vulnerabilidade no Windows para a execução de comandos arbitrários do sistema operativo como controlo total dos parâmetros. Embora no Linux e macOS tenham obtido inicialmente execução de código com controlo limitado, a JFrog acredita que o potencial de impacto pode ser ainda maior nestas plataformas.

A JFrog salientou que a falha só pode ser explorada por developers que utilizem uma versão vulnerável do pacote npm e dependam do servidor de desenvolvimento Metro. A empresa de segurança confirmou que a vulnerabilidade foi rapidamente corrigida pela Meta, que continua envolvida na manutenção do framework juntamente com a comunidade de open-source e colaboradores empresariais como a Microsoft.

Uma correção para a CVE-2025-11953 está incluída na versão 20.0.0 do pacote. É recomendado que os utilizadores atualizem o pacote [@]react-native-community/cli-server-api para esta versão ou versões superiores em todos os seus projetos.