![\"\"](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/03-Blog-inner-main-img-863X300.png\")
<\/p>\n<\/p>\n
Mise \u00e0 jour du 9 f\u00e9vrier 2026\u00a0:<\/strong> clarification de la diff\u00e9rence d\u2019impact avant la version\u00a017.0.0 et \u00e0 partir de la version\u00a017.0.0.<\/p>\n L\u2019\u00e9quipe de recherche en s\u00e9curit\u00e9 de JFrog a r\u00e9cemment d\u00e9couvert et divulgu\u00e9 la CVE-2025-11953, une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique (CVSS\u00a09,8<\/a>) affectant le package NPM @react-native-community\/cli<\/a>, extr\u00eamement populaire et t\u00e9l\u00e9charg\u00e9 environ 2\u00a0millions de fois par semaine.<\/p>\n Cette vuln\u00e9rabilit\u00e9 permet \u00e0 des pirates distants non authentifi\u00e9s de d\u00e9clencher facilement l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation sur la machine ex\u00e9cutant le serveur de d\u00e9veloppement de react-native-community\/cli, ce qui repr\u00e9sente un risque important pour les d\u00e9veloppeurs.<\/p>\n React Native est un framework populaire permettant de cr\u00e9er des applications mobiles multiplateformes \u00e0 l\u2019aide de JavaScript. La vuln\u00e9rabilit\u00e9 se trouve dans un package appartenant au projet plus vaste React Native Community CLI<\/a>, qui a \u00e9t\u00e9 s\u00e9par\u00e9 du code source principal de react-native il y a quelques ann\u00e9es afin d\u2019en faciliter la maintenance. Cette interface en ligne de commande est un ensemble d\u2019outils qui aident les d\u00e9veloppeurs \u00e0 cr\u00e9er des applications mobiles React Native. Elle est officiellement utilis\u00e9e pour cr\u00e9er des applications mobiles React Native sans recourir \u00e0 un framework<\/a>, ainsi que des applications React Native pour Windows<\/a>, React Native pour macOS, etc.<\/p>\n Contrairement aux vuln\u00e9rabilit\u00e9s classiques des serveurs de d\u00e9veloppement, qui ne peuvent \u00eatre exploit\u00e9es que depuis la machine locale d\u2019un d\u00e9veloppeur, un second probl\u00e8me de s\u00e9curit\u00e9 rep\u00e9r\u00e9 par l\u2019\u00e9quipe dans le code source principal de React Native expose le serveur de d\u00e9veloppement<\/strong> aux attaques provenant de r\u00e9seaux externes<\/strong>. Ce second probl\u00e8me rend la premi\u00e8re vuln\u00e9rabilit\u00e9 extr\u00eamement critique.<\/p>\n Nous tenons \u00e0 remercier l\u2019\u00e9quipe de s\u00e9curit\u00e9 et les ing\u00e9nieurs de Meta pour leur prise en charge rapide de la vuln\u00e9rabilit\u00e9 CVE-2025-11953<\/a>.<\/p>\n Les d\u00e9veloppeurs qui ont initialis\u00e9 leur projet React Native avec une version vuln\u00e9rable de @react-native-community\/cli et qui ex\u00e9cutent le serveur de d\u00e9veloppement Metro<\/strong> \u00e0 l\u2019aide de l\u2019une des commandes suivantes ou de commandes similaires sont vuln\u00e9rables \u00e0 CVE-2025-11953\u00a0:<\/p>\n \u00a0Serveur de d\u00e9veloppement de react-native (Metro) en cours d\u2019ex\u00e9cution<\/span><\/i><\/p>\n Bien que la vuln\u00e9rabilit\u00e9 soit exploitable par d\u00e9faut lors de l\u2019initialisation d\u2019un projet react-native \u00e0 l\u2019aide de @react-native-community\/cli, il est important de comprendre que tous les d\u00e9veloppeurs ayant install\u00e9 cette biblioth\u00e8que en tant que d\u00e9pendance ne sont pas n\u00e9cessairement vuln\u00e9rables.<\/p>\n Plus pr\u00e9cis\u00e9ment, les d\u00e9veloppeurs qui utilisent React Native avec un framework n\u2019employant pas Metro comme serveur de d\u00e9veloppement ne sont g\u00e9n\u00e9ralement pas vuln\u00e9rables.<\/p>\n La vuln\u00e9rabilit\u00e9 affecte directement les versions\u00a04.8.0 \u00e0 20.0.0-alpha.2 du package @react-native-community\/cli-server-api. Elle est corrig\u00e9e depuis la version\u00a020.0.0.<\/p>\n Dans les versions\u00a04.8.0 ant\u00e9rieures \u00e0 la version\u00a017.0.0, la vuln\u00e9rabilit\u00e9 peut permettre \u00e0 des pirates distants non authentifi\u00e9s d\u2019ex\u00e9cuter des fichiers ex\u00e9cutables d\u00e9j\u00e0 pr\u00e9sents sur une machine distante (sans fournir le moindre argument). Cette possibilit\u00e9 peut \u00eatre utile aux pirates capables de transf\u00e9rer, d\u2019une mani\u00e8re ou d\u2019une autre, des fichiers ex\u00e9cutables sp\u00e9cialement con\u00e7us vers la machine distante.<\/p>\n Cependant, \u00e0 partir de la version\u00a017.0.0 et jusqu\u2019\u00e0 la version\u00a020.0.0-alpha.2, la vuln\u00e9rabilit\u00e9 devient encore plus critique<\/strong> et peut conduire \u00e0 l\u2019ex\u00e9cution compl\u00e8te et non authentifi\u00e9e de commandes distantes du syst\u00e8me d\u2019exploitation. Nous allons en pr\u00e9senter les d\u00e9tails ici.<\/p>\n Voici comment v\u00e9rifier si le package vuln\u00e9rable est pr\u00e9sent dans un projet Node.js particulier\u00a0:<\/p>\n Le package peut \u00e9galement \u00eatre install\u00e9 globalement sur votre syst\u00e8me. Vous pouvez le v\u00e9rifier en ex\u00e9cutant\u00a0:<\/p>\n Notez que le package concern\u00e9 est g\u00e9n\u00e9ralement inclus avec @react-native-community\/cli dans les versions correspondantes. Par cons\u00e9quent, les projets utilisant les versions 4.8.0 \u00e0 20.0.0\u2011alpha.2 de @react-native-community\/cli sont susceptibles d\u2019inclure des versions vuln\u00e9rables de @react-native-community\/cli-server-api.<\/p>\n Sous Windows, nous avons d\u00e9montr\u00e9 que cette vuln\u00e9rabilit\u00e9 permet l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation (notamment de commandes shell avec un contr\u00f4le total des param\u00e8tres). Sous macOS et Linux, la vuln\u00e9rabilit\u00e9 permet l\u2019ex\u00e9cution de fichiers ex\u00e9cutables arbitraires avec un contr\u00f4le limit\u00e9 des param\u00e8tres. Des recherches suppl\u00e9mentaires pourraient permettre d\u2019obtenir l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation sur ces plateformes.<\/p>\n L\u2019ex\u00e9cution des \u00e9tapes suivantes permettra d\u2019att\u00e9nuer la CVE-2025-11953\u00a0:<\/p>\n Le serveur de d\u00e9veloppement Metro, lanc\u00e9 par @react-native-community\/cli, se lie par d\u00e9faut aux interfaces externes (ce qui constitue d\u00e9j\u00e0 en soi un petit probl\u00e8me de s\u00e9curit\u00e9). Le point de terminaison Un pirate non authentifi\u00e9 pr\u00e9sent sur le r\u00e9seau peut ainsi envoyer une requ\u00eate POST au serveur et ex\u00e9cuter des commandes shell arbitraires avec des param\u00e8tres qu\u2019il contr\u00f4le.<\/p>\n Lors de la cr\u00e9ation d\u2019un projet React Native, les d\u00e9veloppeurs peuvent choisir d\u2019utiliser un framework existant<\/span><\/a>, comme Expo, qui emploie sa propre interface en ligne de commande et n\u2019est pas vuln\u00e9rable. Ils peuvent \u00e9galement cr\u00e9er leur application sans framework<\/span><\/a>, comme nous le ferons ici, s\u2019ils pr\u00e9f\u00e8rent d\u00e9velopper leur propre framework ou s\u2019ils ont certaines contraintes avec lesquelles un framework donn\u00e9 interf\u00e8re.<\/p>\n Le processus de d\u00e9veloppement commence g\u00e9n\u00e9ralement par l\u2019utilisation de @react-native-community\/cli afin d\u2019initialiser un nouveau projet \u00e0 l\u2019aide de la commande Lors de l\u2019ex\u00e9cution de node-modules\/react-native\/react-native.config.js<\/strong> – ajoute Le fichier react-native.config.js importe startCommand<\/b><\/a> depuis @react-native\/community-cli-plugin, qui est charg\u00e9 d\u2019ex\u00e9cuter le serveur de d\u00e9veloppement.<\/p>\n Extrait du fichier index.js<\/span><\/a> de la commande start<\/em><\/p>\n Lorsque la commande start<\/strong> s\u2019ex\u00e9cute – elle appelle runServer.js<\/span><\/a>:<\/p>\n Version simplifi\u00e9e de runServer.js<\/span><\/a><\/em><\/p>\n runServer.js<\/span> effectue les op\u00e9rations suivantes\u00a0:<\/p>\n Examinons maintenant le gestionnaire openURLMiddleware<\/strong> ajout\u00e9 au serveur dans le cadre de communityMiddleware<\/strong>\u00a0:<\/p>\n Extrait simplifi\u00e9 de la fonction openURLMiddleware du fichier openURLMiddleware.ts<\/span><\/i><\/a><\/em><\/p>\n Cette fonction est appel\u00e9e avec un param\u00e8tre req<\/strong> correspondant \u00e0 une requ\u00eate HTTP POST au format JSON, comprenant un champ de type cha\u00eene nomm\u00e9 url<\/strong>. Elle r\u00e9cup\u00e8re la valeur du champ url<\/strong>, qui est une cha\u00eene non assainie provenant directement de l\u2019utilisateur<\/strong>, et l\u2019utilise comme param\u00e8tre de l\u2019appel \u00e0 La commande cmd Dans le cas de Ce qui entra\u00eene l\u2019ex\u00e9cution de calc.exe.<\/p>\n Pour ex\u00e9cuter n\u2019importe quelle commande arbitraire, nous pourrions d\u00e9finir le param\u00e8tre React Native CVE – image5 Contrairement \u00e0 Windows, comme indiqu\u00e9 ci-dessus, le package open utilise des chemins de code diff\u00e9rents sous macOS et Linux, en ex\u00e9cutant respectivement En outre, les deux commandes sont ex\u00e9cut\u00e9es sans shell. Combin\u00e9s au fait que nous ne contr\u00f4lons qu\u2019une seule cha\u00eene (url), ces \u00e9l\u00e9ments ne permettent pas d\u2019ex\u00e9cuter directement des commandes arbitraires sur macOS et Linux.<\/p>\n xdg-open et open d\u00e9terminent tous deux si la cha\u00eene fournie correspond \u00e0 un fichier ou \u00e0 un URI, puis agissent en cons\u00e9quence.<\/p>\n La surface d\u2019attaque permettant d\u2019obtenir une ex\u00e9cution de code sur ces syst\u00e8mes d\u2019exploitation peut d\u00e9pendre de la configuration du syst\u00e8me et comprend g\u00e9n\u00e9ralement les possibilit\u00e9s suivantes\u00a0:<\/p>\n En conclusion, l\u2019ex\u00e9cution de commandes arbitraires du syst\u00e8me d\u2019exploitation sur ces plateformes pourrait \u00eatre r\u00e9alisable moyennant des recherches suppl\u00e9mentaires.<\/p>\n Comme nous l\u2019avons montr\u00e9 pr\u00e9c\u00e9demment, lors de l\u2019ex\u00e9cution du serveur de d\u00e9veloppement Metro, celui-ci indique explicitement qu\u2019il d\u00e9marre sur l\u2019interface localhost\u00a0:<\/p>\n Cependant, en r\u00e9alit\u00e9, nous pouvons constater que le serveur est \u00e0 l\u2019\u00e9coute sur toutes les interfaces ! (0.0.0.0 et IPv6 [::]) :<\/p>\n Comme indiqu\u00e9 pr\u00e9c\u00e9demment, cela est d\u00fb \u00e0 une autre vuln\u00e9rabilit\u00e9 que nous avons d\u00e9couverte et divulgu\u00e9e dans @react-native\/community-cli-plugin<\/a>, et qui a \u00e9t\u00e9 consid\u00e9r\u00e9e comme \u00ab\u00a0informative\u00a0\u00bb.<\/p>\n Lors de l\u2019ex\u00e9cution de npx react-native start<\/strong>, le code atteint la fonction runServer.js::runServer<\/a> :<\/p>\n Parties pertinentes de la fonction runServer<\/a> du fichier runServer.js<\/em><\/p>\n Nous supposerons que la commande start est appel\u00e9e avec les valeurs par d\u00e9faut et sans param\u00e8tres facultatifs. Suivons chacune des \u00e9tapes de l\u2019exemple de code ci-dessus\u00a0:<\/span><\/p>\n Plus loin, le code de la fonction runServer<\/a> de Metro utilise ce param\u00e8tre undefined lors de l\u2019appel \u00e0 La documentation de server.listen du module http<\/a> de Node nous permet de comprendre que cette fonction se comporte comme server.listen<\/a> de net.Server, qui indique\u00a0:<\/p>\n \u00ab\u00a0Si host est omis, le serveur acceptera les connexions sur l\u2019adresse\u00a0IPv6 non sp\u00e9cifi\u00e9e (::) lorsque le protocole\u00a0IPv6 est disponible, ou sur l\u2019adresse\u00a0IPv4 non sp\u00e9cifi\u00e9e (0.0.0.0) dans le cas contraire. Sur la plupart des syst\u00e8mes d\u2019exploitation, l\u2019\u00e9coute sur l\u2019adresse\u00a0IPv6 non sp\u00e9cifi\u00e9e (::) peut \u00e9galement amener net.Server \u00e0 \u00e9couter sur l\u2019adresse\u00a0IPv4 non sp\u00e9cifi\u00e9e (0.0.0.0).\u00a0\u00bb<\/p>\n Transmettre explicitement undefined<\/strong> revient fonctionnellement \u00e0 omettre le param\u00e8tre. Par cons\u00e9quent, le serveur accepte par d\u00e9faut les connexions externes.<\/strong><\/p>\n Les points de terminaison HTTP destin\u00e9s uniquement au d\u00e9veloppement sont donc expos\u00e9s aux pirates pr\u00e9sents sur le r\u00e9seau<\/strong>.<\/p>\n Cette vuln\u00e9rabilit\u00e9 montre que m\u00eame des failles simples d\u2019ex\u00e9cution de code \u00e0 distance, telles que la transmission d\u2019une saisie utilisateur au shell du syst\u00e8me, existent encore dans des logiciels r\u00e9els. C\u2019est particuli\u00e8rement le cas lorsque la fonction sensible dangereuse se trouve en r\u00e9alit\u00e9 dans du code tiers, comme la fonction \u00ab\u00a0open\u00a0\u00bb import\u00e9e dans cet exemple. Elle rappelle que les pratiques de programmation s\u00e9curis\u00e9e et l\u2019analyse de s\u00e9curit\u00e9 automatis\u00e9e sont indispensables pour emp\u00eacher que ces failles faciles \u00e0 exploiter n\u2019atteignent l\u2019environnement de production.<\/p>\n Un bon moyen d\u2019\u00e9viter ces vuln\u00e9rabilit\u00e9s et d\u2019autres failles similaires dans votre propre code consiste \u00e0 d\u00e9ployer l\u2019analyse SAST de JFrog Advanced Security<\/a>, qui permet aux d\u00e9veloppeurs de d\u00e9tecter et de corriger les probl\u00e8mes de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but du processus de d\u00e9veloppement. Ne n\u00e9cessitant aucune configuration, JFrog SAST<\/a> s\u2019int\u00e8gre facilement aux workflows existants gr\u00e2ce \u00e0 des extensions d\u2019EDI et \u00e0 des outils en ligne de commande. Les d\u00e9veloppeurs acc\u00e8dent ainsi facilement \u00e0 des r\u00e9sultats exploitables sans interrompre leur travail.<\/p>\n Par exemple, la capture d\u2019\u00e9cran ci-dessous montre comment JFrog SAST d\u00e9tecte la vuln\u00e9rabilit\u00e9 d\u00e9crite ci-dessus lorsqu\u2019elle est analys\u00e9e comme du code interne directement depuis Visual Studio Code\u00a0:<\/p>\nQui est affect\u00e9 par la CVE-2025-11953\u00a0?<\/h2>\n
npm start\r\n npm run [start|android|ios|windows|macos]\r\n npx react-native [start|run-android|run-ios|run-windows|run-macos]\r\n npx @react-native-community\/cli [start|run-android|run-ios|run-windows|run-macos]\r\n<\/code><\/pre>\n![\"\"](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/React-Native-CVE-image1.png\")
<\/p>\n cd \r\n npm list @react-native-community\/cli-server-api\r\n<\/code><\/pre>\n npm list -g @react-native-community\/cli-server-api\r\n<\/code><\/pre>\nComment att\u00e9nuer la CVE-2025-11953\u00a0?<\/h2>\n
\n
npx react-native start --host 127.0.0.1\r\n npx @react-native-community\/cli start --host 127.0.0.1\r\n<\/code><\/pre>\nR\u00e9sum\u00e9 de la CVE-2025-11953<\/h2>\n
\/open-url<\/code> du serveur traite une requ\u00eate POST comprenant une valeur saisie par l\u2019utilisateur. Cette valeur est transmise \u00e0 la fonction non s\u00e9curis\u00e9e open()<\/code>, fournie par le package NPM open, ce qui entra\u00eene l\u2019ex\u00e9cution d\u2019une commande du syst\u00e8me d\u2019exploitation.<\/p>\n![\"<code](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/React-Native-CVE-image3.png\")
\" width=\"400\" height=\"364\" \/>ex\u00e9cution de calc.exe \u00e0 la suite de notre exploitation de la vuln\u00e9rabilit\u00e9<\/em><\/code><\/p>\nD\u00e9tails techniques de la CVE-2025-11953<\/h2>\n
npx @react-native-community\/cli init MyApp<\/code>. Celle-ci met en place la structure, les d\u00e9pendances et les fichiers de configuration n\u00e9cessaires au projet. Pendant la phase de d\u00e9veloppement actif, les d\u00e9veloppeurs s\u2019appuient sur l\u2019interface en ligne de commande pour lancer le serveur de d\u00e9veloppement Metro (\u00e0 l\u2019aide de commandes telles que npx react-native start<\/code>). Ce serveur transmet le bundle JavaScript \u00e0 l\u2019application en cours d\u2019ex\u00e9cution (sur un \u00e9mulateur ou un appareil mobile) et active des fonctionnalit\u00e9s de d\u00e9veloppement essentielles, telles que le rechargement \u00e0 chaud et l\u2019actualisation rapide, afin de permettre des it\u00e9rations rapides.<\/p>\nnpx react-native start<\/code>, le fichier cli.js de react-native transmet la commande au package @react-native-community\/cli (une d\u00e9pendance facultative de react-native), qui ex\u00e9cute sa fonction build\\index.js::setupAndRun()<\/code>. \u00a0 Cette fonction charge les commandes de l\u2019interface en ligne de commande (c\u2019est-\u00e0-dire la commande start<\/code>) en appelant loadConfigAsync<\/code>, qui trouve et utilise le fichier node-modules\/react-native\/react-native.config.js<\/code> pendant le processus.<\/p>\n const commands = [];\r\n const {\r\n bundleCommand,\r\n startCommand,\r\n } = require('@react-native\/community-cli-plugin');\r\n commands.push(bundleCommand, startCommand);\r\n<\/code><\/pre>\nstartCommand<\/code> \u00e0 une liste de commandes export\u00e9e, qui est ensuite ajout\u00e9e \u00e0 la liste des commandes de l\u2019interface en ligne de commande.<\/em><\/p>\n import runServer from '.\/runServer';\r\n \/* ... *\/\r\n const startCommand: Command = {\r\n name: 'start',\r\n func: runServer,\r\n description: 'Start the React Native development server.',\r\n<\/code><\/pre>\n \/* ... *\/\r\n\r\n import {createDevServerMiddleware} from '.\/middleware'; \/* *** 1 *** *\/\r\n\r\n \/* ... *\/\r\n\r\n \/* *** 2 *** *\/\r\n const { middleware: communityMiddleware<\/strong> } = createDevServerMiddleware({\r\n host: hostname,\r\n port,\r\n watchFolders,\r\n });\r\n\r\n \/* ... *\/\r\n\r\n \/* *** 3 *** *\/\r\n await Metro.runServer<\/strong>(metroConfig, {\r\n host: args.host,\r\n secure: args.https,\r\n secureCert: args.cert,\r\n secureKey: args.key,\r\n unstable_extraMiddleware: [communityMiddleware<\/strong>, middleware],\r\n websocketEndpoints: {\r\n ...communityWebsocketEndpoints,\r\n ...websocketEndpoints,\r\n },\r\n });\r\n<\/code><\/pre>\n\n
async function openURLMiddleware(req: IncomingMessage, ...) {\r\n if (req.method === 'POST') {\r\n\r\n \/* ... *\/\r\n\r\n const {url} = req.body as {url: string};\r\n\r\n await open(url);\r\n\r\n \/* ... *\/\r\n\r\n }\r\n next();\r\n }\r\n export default connect().use(json()).use(openURLMiddleware);\r\n<\/code><\/pre>\nopen()<\/code>.<\/p>\n\n
open()<\/code> est import\u00e9e depuis la version\u00a06.4.0 du package NPM \u00ab\u00a0open\u00a0\u00bb<\/span><\/a>.<\/li>\nopen(url)<\/code> effectue les op\u00e9rations suivantes sur les machines Windows\u00a0:\n\n
commande<\/code> \u00e0 ex\u00e9cuter.<\/li>\ncliArguments<\/code> : ['\/c', 'start', '\"\"', '\/b']<\/code><\/li>\ncha\u00eene cible<\/code>, qui correspond \u00e0 l\u2019URL que nous avons fournie.<\/li>\ntarget<\/code> \u00e0 cliArguments<\/code><\/li>\n
\nchildProcess.spawn(command, cliArguments, childProcessOptions);<\/code><\/code><\/li>\n<\/ol>\n<\/li>\n<\/ol>\nstart<\/code> peut accepter une seule URL comme param\u00e8tre et l\u2019ouvrir dans le navigateur par d\u00e9faut gr\u00e2ce \u00e0 son sch\u00e9ma d\u2019URI HTTP. Elle accepte \u00e9galement le format suivant pour ex\u00e9cuter des commandes\u00a0:
\nstart \u201ctitle\u201d \/b command optional_command_parameters<\/code><\/p>\nopen(\u201ccalc.exe\u201d)<\/code>, le nouveau processus suivant est cr\u00e9\u00e9\u00a0:<\/p>\n cmd \/c start \u201c\u201d \/b calc.exe\r\n<\/code><\/pre>\nurl<\/code> de open sur une commande cmd \/c <\/code>. Par exemple, cela entra\u00eenerait la cr\u00e9ation du processus suivant\u00a0:<\/p>\n cmd \/c start \"\" \/b cmd \/c echo abc > c:\\temp\\pwned.txt\r\n<\/code><\/pre>\n![\"React](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/React-Native-CVE-image5.png\")
\nUn nouveau fichier pwned.txt est cr\u00e9\u00e9 dans C:\\temp \u00e0 la suite de notre commande cmd.exe \/c, ce qui prouve que l\u2019ex\u00e9cution de code arbitraire a r\u00e9ussi.<\/em><\/p>\nSurfaces d\u2019attaque sur diff\u00e9rents syst\u00e8mes d\u2019exploitation<\/h3>\n
open <\/code> et xdg-open <\/code>. Sur les syst\u00e8mes d\u2019exploitation de type Unix, le processus cr\u00e9\u00e9 s\u2019attend \u00e0 ce que chaque argument soit une cha\u00eene distincte dans cliArguments<\/code>. Ce comportement diff\u00e8re de celui de Windows, o\u00f9 le processus cr\u00e9\u00e9 attend une seule cha\u00eene d\u2019argument lpCommandLine<\/code>, constitu\u00e9e<\/a> avant l\u2019appel \u00e0 CreateProcess<\/code>.<\/p>\n\n
\n
\n
Le serveur de d\u00e9veloppement ne devrait-il pas se lier uniquement \u00e0 localhost\u00a0?<\/h3>\n
![\"React](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/React-Native-CVE-image4.png\")
<\/pre>\n![\"React](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/React-Native-CVE-image2.png\")
<\/pre>\n async function runServer(\r\n _argv: Array,\r\n cliConfig: Config,\r\n args: StartCommandArgs,\r\n ) {\r\n\r\n \/* ... *\/\r\n\r\n const hostname = args.host?.length ? args.host : 'localhost'; \/\/ *** 1 ***\r\n\r\n \/* ... *\/\r\n\r\n const protocol = args.https === true ? 'https' : 'http';\r\n const devServerUrl = url.format({protocol, hostname, port}); \/\/ *** 2 ***\r\n\r\n \/* ... *\/\r\n\r\n console.info(`Starting dev server on ${devServerUrl}\\n`); \/\/ *** 3 ***\r\n\r\n \/* ... *\/\r\n\r\n await Metro.runServer(metroConfig, {\r\n host: args.host, \/\/ *** 4 ***\r\n<\/code><\/pre>\n\n
\n
hostname<\/code> contient le param\u00e8tre host<\/code> s\u2019il a \u00e9t\u00e9 fourni, ou \u00ab\u00a0localhost\u00a0\u00bb<\/code> dans le cas contraire.<\/li>\ndevServerUrl<\/code> est form\u00e9e \u00e0 partir de hostname.<\/li>\n\u201cStarting dev server on http:\/\/localhost:8081\u201d<\/code> est affich\u00e9.<\/li>\nargs.host<\/code> comme valeur du param\u00e8tre host. Cette valeur est undefined<\/strong>, alors que la variable hostname<\/code> aurait d\u00fb \u00eatre utilis\u00e9e.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\nhttpServer.listen<\/code>.<\/p>\nR\u00e9sum\u00e9<\/h2>\n
![\"\"](\"https:\/\/jfrog.com\/wp-content\/uploads\/2025\/08\/JFrog-detects-React-Native-vulnerability.png\")
JFrog SAST d\u00e9tecte la vuln\u00e9rabilit\u00e9 et affiche ses d\u00e9tails ainsi que les preuves de tra\u00e7age des donn\u00e9es (Data Trace Evidence). (Cliquez sur l\u2019image pour l\u2019agrandir.)<\/em><\/p>\n