跳到主要内容

超危

React Native Community CLI操作系统命令注入漏洞(Metro4Shell)

2025-11-03 00:00:00 公开 ，2026-07-02 06:00:29 更新

  • CISA KEV
  • 关键漏洞
  • 远程
  • 无需认证
  • 开源组件漏洞
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-78 （OS Command Injection）
CAPEC：
CAPEC-108 （Command Line Execution through SQL Injection） 、 CAPEC-15 （Command Delimiters） 、 CAPEC-43 （Exploiting Multiple Input Interpretation Layers） 、 CAPEC-6 （Argument Injection） 、 CAPEC-88 （OS Command Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2026-02-06 12:55:17

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
其他
漏洞描述
React Native Community CLI自带的Metro Development Server,默认绑定到外部接口。该服务器暴露了一个易受到操作系统命令注入攻击的端点。允许未经过身份验证的网络攻击者向服务器发送POST请求并运行任意可执行文件。在Windows上，攻击者还可以执行带有完全可控参数的任意Shell命令。
修复建议
请应用如下补丁或升级到20.0.0 及更高版本。参考链接： https://github.com/react-native-community/cli/commit/15089907d1f1301b22c72d7f68846a2ef20df547 https://github.com/react-native-community/cli/pull/2735
缓解措施
1、网络层隔离：确保Metro开发服务器（默认端口8081）不在公网或非信任局域网中暴露。使用防火墙规则仅允许127.0.0.1访问该端口 2、强制绑定本地地址： 在启动React Native开发服务器时，显式指定监听地址为本地：npx react-native start --host 127.0.0.1

参考链接