کامپوننت‌های سرور ریکت (React Server Components) برای ارائه رابط‌های کاربری پویا و تعاملی، از پروتکل اختصاصی Flight استفاده می‌کنند. این پروتکل که امکان استریم داده‌ها را از سرور به کلاینت فراهم می‌کند، در نگاه اول یک راهکار ساده و کارآمد به نظر می‌رسد؛ اما همین مکانیزم حاوی سینک‌های دی‌سریالایزیشن (Deserialization Sinks) قدرتمندی است که در صورت پیکربندی نادرست، می‌تواند به یک نقطه ورود ایده‌آل برای مهاجمان تبدیل شود.
دورگش پاوار (Durgesh Pawar)، محقق برجسته امنیت سایبری، در تحقیقات جدید خود مکانیک‌های پشت آسیب‌پذیری «React2Shell» را با امتیاز بحرانی CVSS 10.0 تشریح کرده است. او نشان می‌دهد که چگونه از طریق دستکاری دقیق پروتکل Flight، می‌توان به اجرای کد از راه دور (RCE) روی سرور دست یافت. این کشف ثابت می‌کند که حتی فریم‌ورک‌های مدرن و محبوب نیز می‌توانند نقاط ضعف اساسی داشته باشند.
این موضوع اهمیت بازنگری در معماری‌های مبتنی بر کامپوننت سرور را پررنگ می‌کند. توسعه‌دهندگان باید آگاه باشند که پویایی و راحتی این الگوها، هزینه‌های امنیتی پنهانی دارد که بدون توجه کافی، می‌تواند کل زیرساخت آن‌ها را به خطر بیندازد.
به نقل از کدیران
این کشف یک نقطه عطف در درک ما از تهدیدات امنیتی در اکوسیستم فریم‌ورک‌های مدرن جاوااسکریپتی است. سال‌هاست که جامعه توسعه‌دهندگان به سمت معماری‌های ترکیبی و کامپوننت‌های سرور حرکت می‌کند و ریکت با معرفی RSCها این مسیر را با سرعت طی کرده است. اما پروتکل Flight به عنوان یک لایه انتقال داده سفارشی، در عمل یک سطح حمله کاملاً جدید ایجاد می‌کند که اکثر ابزارهای امنیتی سنتی برای پوشش آن طراحی نشده‌اند. این مسئله به ویژه برای استارتاپ‌ها و تیم‌های کوچک که منابع محدودی برای ممیزی امنیتی دارند، نگران‌کننده است.
آسیب‌پذیری React2Shell با امتیاز کامل CVSS 10.0 ثابت می‌کند که دی‌سریالایزیشن ناامن، مشکلی منحصر به سیستم‌های قدیمی نیست. وقتی داده‌های غیرقابل اعتماد مستقیماً به فرآیند رندرینگ سرور تزریق می‌شوند، مهاجم می‌تواند کنترل کامل سرور را به دست گرفته و از آن به عنوان پایگاهی برای نفوذ عمیق‌تر به شبکه داخلی سازمان استفاده کند. این نوع حمله می‌تواند منجر به سرقت داده‌های حساس، باج‌افزاری، یا حتی سوءاستفاده از منابع سرور برای استخراج ارز دیجیتال شود و پیامدهای مالی و اعتباری جدی برای کسب‌وکارها به همراه داشته باشد.
پیش‌بینی می‌کنیم که در ماه‌های آینده، تیم متا و جامعه متن‌باز ریکت پچ‌های امنیتی حیاتی منتشر خواهند کرد. همچنین شاهد معرفی استانداردهای جدیدی برای اعتبارسنجی و امضای دیجیتال پیام‌های Flight، و همچنین توسعه ابزارهای SAST/DAST اختصاصی برای اسکن کدهای RSC خواهیم بود. سازمان‌ها باید سرمایه‌گذاری روی آموزش امنیت برای توسعه‌دهندگان فرانت‌اند را جدی بگیرند، چرا که مرز بین فرانت‌اند و بک‌اند در حال محو شدن است. توصیه عملی ما: قبل از آپدیت، ترافیک بین کلاینت و سرور را مانیتور کنید و از WAFها برای فیلتر درخواست‌های مشکوک استفاده کنید.