کامپوننت‌های سرور React (RSC) برای استریم رابط‌های کاربری تعاملی و سریع به پروتکل سفارشی Flight تکیه می‌کنند. این پروتکل داده‌ها را به‌صورت جریانی به سمت کلاینت می‌فرستد و تجربه کاربری روان‌تری ارائه می‌دهد، اما در عین حال حفره‌های دِسِریالایزیشن قدرتمندی را وارد معادله امنیتی می‌کند که مهاجمان می‌توانند از آن‌ها سوءاستفاده کنند.
دورگش پوار (Durgesh Pawar)، محقق امنیت سایبری، مکانیزم‌های پشت آسیب‌پذیری «React2Shell» با نمره CVSS 10.0 — یعنی بالاترین سطح شدت ممکن — را کالبدشکافی می‌کند. او در این تحقیق نشان می‌دهد که چگونه دستکاری پروتکل می‌تواند به اجرای کد از راه دور (RCE) روی سرور منجر شود.
این موضوع برای توسعه‌دهندگانی که از React Server Components در پروژه‌هایشان استفاده می‌کنند، یک هشدار جدی است؛ زیرا همان ویژگی‌ای که سرعت و تعامل را بهبود می‌بخشد، می‌تواند در صورت رعایت نکردن بهترین روش‌های امنیتی، به نقطه ورود مهاجمان تبدیل شود.
به نقل از کدیران این خبر نشان‌دهنده یک تغییر پارادایم مهم در امنیت اپلیکیشن‌های وب مدرن است. سال‌هاست که فریم‌ورک‌های فرانت‌اند مانند React به عنوان لایه‌ای کم‌خطر و صرفاً سمت کلاینت در نظر گرفته می‌شدند، اما با ورود کامپوننت‌های سرور (RSC)، مرز سنتی بین کلاینت و سرور محوتر شده و سطح حمله به‌طور چشمگیری گسترش یافته است. این تغییر معماری، مسئولیت سنگین امنیتی تازه‌ای را بر دوش توسعه‌دهندگان می‌گذارد.
پروتکل Flight یک لایه انتقال سفارشی است که داده‌های سریالایزشده را بین سرور و کلاینت جابجا می‌کند. مسئله اصلی اینجاست که دِسِریالایز کردن داده‌های غیرقابل اعتماد، یک الگوی آسیب‌پذیری کلاسیک است که در اکوسیستم‌های برنامه‌نویسی دیگر مانند Java، PHP و Python بارها منجر به حفره‌های اجرای کد از راه دور (RCE) شده است. حالا این الگوی آشنا در دنیای جاوااسکریپت و فریم‌ورک‌های مدرن وب هم ظاهر شده است.
آسیب‌پذیری React2Shell با نمره CVSS 10.0، یعنی بالاترین سطح شدت ممکن، به وضوح نشان می‌دهد که این مشکل صرفاً یک نگرانی نظری نیست. مهاجمانی که بتوانند پاسخ‌های پروتکل Flight را رهگیری و دستکاری کنند، می‌توانند کد دلخواه خود را روی سرور قربانی اجرا کنند. این امر می‌تواند به نشت اطلاعات حساس، استقرار بدافزار، جعل درخواست‌های سمت سرور و حتی بهره‌برداری از منابع سرور برای حملات گسترده‌تر منجر شود.
باید توجه داشت که معماری RSC همچنان ارزش بالایی برای عملکرد، سئو و تجربه کاربری دارد و این خبر به معنای کنار گذاشتن این فناوری نیست. پیش‌بینی می‌شود تیم React در نسخه‌های آینده، پروتکل Flight را با مکانیزم‌های اعتبارسنجی یکپارچه، امضای دیجیتال پیام‌ها و محدودسازی دقیق‌تر سینک‌های دِسِریالایزیشن تقویت کند. تا آن زمان، توسعه‌دهندگان باید احراز هویت و مجوزدهی سخت‌گیرانه‌ای روی اندپوینت‌های RSC پیاده کنند، ورودی‌های کاربر را به دقت فیلتر نمایند، از رمزنگاری مناسب در انتقال داده‌ها استفاده کنند و وابستگی‌های پروژه را به طور مداوم به‌روزرسانی نمایند. همچنین توصیه می‌شود تیم‌ها ریسک این آسیب‌پذیری را در فرآیند بازبینی کد خود ارزیابی کرده و طرح پاسخ به حوادث امنیتی را برای سناریوهای RCE آماده کنند.