מפתח שמריץ פרויקט React Native במחשב שלו מפעיל בדרך אגב שרת פיתוח מקומי. החולשה כאן היא ששרת ה-Metro, שנפתח על ידי ה-CLI של React Native Community, מאזין כברירת מחדל גם לממשקי הרשת החיצוניים ולא רק למחשב עצמו, ואחד ה-endpoint שלו מאפשר הזרקת פקודות. הציון 9.8, והחולשה מסומנת כמנוצלת בפועל.

מה החולשה?

שני דברים נפרדים מצטרפים כאן, וכדאי להפריד ביניהם.

הראשון הוא שאלה של האזנה. שרת פיתוח מיועד למחשב שעליו הוא רץ, ולכן הציפייה הסבירה היא שהוא יאזין רק למחשב עצמו. השרת הזה נקשר כברירת מחדל גם לממשקים החיצוניים, כלומר כל מי שנמצא באותה רשת יכול להגיע אליו. משרד, חלל עבודה משותף, רשת אלחוטית של בית קפה.

השני הוא מה שאפשר לעשות אחרי שמגיעים. אחד ה-endpoint מקבל ערך מתוך הבקשה ומעביר אותו למערכת ההפעלה כתוכנית להרצה. הרשומה מתארת בקשת POST בלי שום הזדהות שגורמת להרצה של קבצי הרצה בשליטת התוקף, ומוסיפה שבווינדוס אפשר גם להריץ פקודות shell עם ארגומנטים בשליטה מלאה. לסוג הזה קוראים OS command injection.

הפרופיל שנובע מזה חד: מרחוק, מורכבות נמוכה, בלי הרשאות, בלי פעולה של משתמש, ושלושת סוגי הנזק גבוהים. המחשב שנמצא בצד המקבל הוא של המפתח, וזה בדרך כלל המחשב שמחזיק גם את הגישה לקוד, למאגרים ולסביבות.

מי מושפע?

הרשומה מונה את React Native Community CLI בגרסאות 19.0.0 עד 19.1.2, וכן את 18.0.0 ואת 20.0.0.

כאן חשוב סיוג שמונע בהלה מיותרת: זה כלי של זמן פיתוח, לא רכיב שנארז לתוך האפליקציה שמגיעה למשתמשי הקצה. הסיכון הוא למחשב של המפתח ולסביבה שסביבו, לא למי שהתקין את האפליקציה מהחנות.

בישראל React Native נפוץ מאוד בפיתוח אפליקציות, בסטארטאפים ובבתי תוכנה. הקהל שנוגע בזה הוא מפתחים שמריצים את סביבת הפיתוח על רשתות משותפות, וזה מצב יומיומי לגמרי.

האם מנוצלת בפועל?

כן. ב-5 בפברואר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-26 בפברואר 2026.

הרשומה ב-NVD פורסמה ב-3 בנובמבר 2025, כשלושה חודשים קודם. בין המקורות מופיעים ניתוחים של JFrog ושל VulnCheck, כלומר יש כאן חומר טכני פומבי מעבר לרשומה עצמה.

מה עושים?

בדקו איזו גרסה נמשכת אצלכם בפועל. הריצו npm ls @react-native-community/cli בתיקיית הפרויקט, כי לרוב החבילה מגיעה כתלות עקיפה ולא כמשהו שהתקנתם ישירות, ולכן היא לא תמיד מופיעה בקובץ ה-package.json שלכם.

עדכנו ל-19.1.2 או לגרסה מאוחרת ממנה, ואם אתם על 18.0.0 או על 20.0.0 בדקו מול הפרויקט לאיזו גרסה לעבור, כי שתי אלה מופיעות ברשומה בנפרד מהטווח.

עד שמעדכנים, אל תריצו את שרת הפיתוח על רשת שאינכם סומכים עליה. אם הכלי מאפשר לציין כתובת האזנה, הגבילו אותה ל-127.0.0.1 כך שרק המחשב עצמו יוכל להגיע אליו.

ובמקביל, כלל שמשתלם גם מעבר לחולשה הזאת: הגדירו ב-firewall של המחשב חסימה של חיבורים נכנסים לפורטים של סביבת הפיתוח. שרת פיתוח שנפתח כדי לשרת אתכם לא אמור לקבל פניות מאף אחד אחר.