SecBoard
Zurück zur CVE-Übersicht

CVE-2025-11953

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score83/100 — KRITISCH
  • CVSS 9.8 — Kritisch
  • EPSS 94% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

94.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2025-11953 betrifft den Metro Development Server, der vom React Native Community CLI geöffnet wird. Die Schwachstelle ist eine OS Command Injection, die es unauthentifizierten Angreifern im Netzwerk ermöglicht, beliebige ausführbare Dateien auszuführen. Unter Windows können Angreifer auch beliebige Shell-Befehle mit vollständig kontrollierten Argumenten ausführen, da der Server standardmäßig an externe Schnittstellen gebunden ist. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet und hat eine hohe EPSS-Wahrscheinlichkeit von 94%. Sie ist zudem im KEV-Katalog gelistet, was bedeutet, dass sie aktiv ausgenutzt wird. Security-Teams sollten umgehend Maßnahmen ergreifen, um diese Schwachstelle zu beheben. Eine Priorisierung der betroffenen Systeme ist aufgrund der aktiven Ausnutzung und der kritischen Bewertung dringend erforderlich. Es wird empfohlen, Patches einzuspielen oder, falls nicht verfügbar, den Zugriff auf den Metro Development Server auf vertrauenswürdige Netzwerke zu beschränken und die Systeme auf ungewöhnliche Aktivitäten zu überwachen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

The Metro Development Server, which is opened by the React Native Community CLI, binds to external interfaces by default. The server exposes an endpoint that is vulnerable to OS command injection. This allows unauthenticated network attackers to send a POST request to the server and run arbitrary executables. On Windows, the attackers can also execute arbitrary shell commands with fully controlled arguments.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). VulnCheck Canaries observed exploitation of CVE-2025-11953 in late December 2025, with consistent payload delivery across multiple dates (December 21, 2025, January 4, 2026, and January 21, 2026), indicating operational use rather than probing or research activity. Exploitation delivered advanced PowerShell-based payloads on Windows systems.

Behobene Versionen

  • v20.0.2
  • v19.1.2
  • v18.0.1

Threat-Hunting-Queries

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessCommandLine contains "/open-url" and InitiatingProcessCommandLine contains "cmd /c powershell -EncodedCommand"
| where FileName =~ "cmd.exe" or FileName =~ "powershell.exe"

Splunk SPL

index=your_index sourcetype=your_sourcetype
| search (InitiatingProcessCommandLine="*open-url*" AND InitiatingProcessCommandLine="*cmd /c powershell -EncodedCommand*") AND (FileName="cmd.exe" OR FileName="powershell.exe")

Sigma

title: React Native CLI OS Command Injection
author: SecBoard
date: 2024/07/30
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith: '\node.exe'
    CommandLine|contains: '/open-url'
    CommandLine|contains: 'cmd /c powershell -EncodedCommand'
  condition: selection
fields:
  - CommandLine
  - ParentCommandLine
  - Image
tags:
  - attack.execution
  - cve.2025.11953
level: critical

Elastic ES|QL

from process where process.parent.executable.path : "*\\node.exe" and process.command_line : "*open-url*" and process.command_line : "*cmd /c powershell -EncodedCommand*"

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:react-native-community:react_native_community_cli:*:*:*:*:*:*:*:*
  • cpe:2.3:a:react-native-community:react_native_community_cli:18.0.0:*:*:*:*:*:*:*
  • cpe:2.3:a:react-native-community:react_native_community_cli:20.0.0:alpha0:*:*:*:*:*:*
  • cpe:2.3:a:react-native-community:react_native_community_cli:20.0.0:alpha1:*:*:*:*:*:*
  • cpe:2.3:a:react-native-community:react_native_community_cli:20.0.0:alpha2:*:*:*:*:*:*

Referenzen