⬇ Scarica il santino: ·
San Metro4Shell, capostazione degli sviluppatori
Patrono dei server di sviluppo esposti su internet, delle app React Native e di chi lascia la metropolitana aperta di notte.
Vita
Nel novembre 2025 JFrog descrisse la CVE-2025-11953: il server Metro avviato dalla CLI di React Native ascoltava su tutte le interfacce e un suo endpoint passava al sistema i comandi ricevuti, senza autenticazione. A febbraio 2026 VulnCheck raccontò di averlo visto sfruttare già da dicembre per scaricare malware sulle macchine degli sviluppatori, e lo battezzò Metro4Shell; il 5 febbraio CISA lo aggiunse al catalogo KEV.
Preghiera
O San Metro4Shell, che fai salire chiunque senza biglietto, ricordaci che il server di sviluppo non è un servizio pubblico. Amen.
Come si festeggia
Si festeggia aggiornando @react-native-community/cli-server-api alla 20.0.0 e legando Metro a localhost.
Server di sviluppo in vista, attaccante in carrozza.