👓 Ботанские новости

Исследователи JFrog нашли в @react-native-community/cli дырку, позволяющую злоумышленнику выполнить любые команды ОС через Metro‑сервер. По умолчанию сервер слушает на 0.0.0.0, а не на localhost, так что любой в сети может подложить свой URL и запустить код. Обновляйте до версии 20.0.0 или хотя бы принудительно привязывайте сервер к 127.0.0.1 – иначе ваш ноутбук скоро превратится в «домашний» ботнет. Ну что ж, кто бы мог подумать, что «dev‑сервер» — это не просто «dev‑песочница», а потенциальный «dev‑тюрьма». Как говорится, «не ставьте все яйца в один процессор», а если уже поставили – держите их под замком!