Summary
Command injection in react-dev-utils (CVE-2026-14802). Risk of unauthorized operations or information disclosure.
Original description
The description as published by the source.
A vulnerability was detected in react create-react-app up to 5.0.1 on macOS. This affects the function startBrowserProcess of the file openBrowser.js of the component react-dev-utils. Performing a manipulation results in os command injection. Remote exploitation of the attack is possible. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
macOS上のreact create-react-app 5.0.1までのバージョンに脆弱性が発見されました。脆弱性はreact-dev-utilsのopenBrowser.js内のstartBrowserProcess関数に存在し、OSコマンドインジェクションを引き起こします。この脆弱性はリモートで悪用可能です。プロジェクトチームは報告を受けていますが、まだ対応されていません。
OSコマンドインジェクションの脆弱性
react create-react-appのreact-dev-utilsコンポーネントのopenBrowser.jsのstartBrowserProcess関数
この脆弱性はリモートからの攻撃を可能にし、スコアは7.3と高いため深刻です。
現在のところ、公式な修正が発表されていないため、アップデートの確認を続けることが重要です。
一時的にreact create-react-appを安全なバージョンにダウングレードするか、macOS以外の環境で使用する。
影響を受けているバージョンがインストールされていないか確認を行うことで確認できます。
Affected packages
References
- web cna@vuldb.com
- web github.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web nvd.nist.gov
- web github.com
- web github.com