CVE-2026-14802
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 67 - wyżej niż 67% wszystkich znanych CVE
Streszczenie
Wykryto podatność w narzędziu create-react-app do wersji 5.0.1 na systemie macOS. Funkcja startBrowserProcess w pliku openBrowser.js komponentu react-dev-utils umożliwia wstrzyknięcie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie dowolnych poleceń systemowych na maszynach deweloperskich z systemem macOS, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego rozprzestrzeniania się ataku w środowisku deweloperskim.
Rekomendacja
Należy natychmiast zaktualizować create-react-app do najnowszej dostępnej wersji lub zastąpić go alternatywnym narzędziem, jeśli producent nie wyda łatki. Do czasu aktualizacji zaleca się unikanie używania narzędzia na systemach macOS oraz monitorowanie publicznych exploitów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in react create-react-app up to 5.0.1 on macOS. This affects the function startBrowserProcess of the file openBrowser.js of the component react-dev-utils. Performing a manipulation results in os command injection. Remote exploitation of the attack is possible. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.