Di bulan Juli 2026, komunitas keamanan web mencatat satu kejutan besar: kerentanan kritis dengan skor CVSS 10.0 yang menargetkan React Server Components (RSC). Namanya “React2Shell”, dan intinya sederhana — protokol Flight yang digunakan React untuk streaming UI interaktif ternyata mengandung titik deserialisasi yang bisa dieksploitasi oleh penyerang untuk menjalankan kode arbitrer di server.
Protokol Flight adalah mekanisme kustom React untuk mengirimkan data antara server dan klien saat rendering komponen secara server-side. Alur kerjanya melibatkan serialisasi struktur data kompleks yang kemudian di deserialisasi di kedua ujung koneksi. Masalahnya, beberapa bentuk input yang masuk melalui protokol ini tidak divalidasi cukup ketat sebelum diproses, sehingga membuka celah di mana payload berbahaya bisa disisipkan dan dieksekusi sebagai bagian dari aliran data yang sah.
Tanda-tanda bahwa sebuah aplikasi mungkin terpengaruh meliputi penggunaan React Server Components dengan konfigurasi default, paparan endpoint RSC ke jaringan umum tanpa lapisan validasi tambahan, dan ketergantungan pada versi React atau framework berbasis React yang belum memperbaiki protokol Flight. Untuk tim yang menjalankan aplikasi produksi, langkah pertama yang wajib dilakukan adalah memeriksa versi dependensi React dan framework yang digunakan, lalu mengupgrade ke release yang sudah memuat patch keamanan.
Di sisi mitigasi, ada sejumlah langkah yang bisa diterapkan sebelum patch tiba. Batasi akses ke endpoint Flight hanya dari sumber terpercaya dengan menerapkan kontrol di tingkat reverse proxy atau API gateway. Gunakan allowlist untuk bentuk request yang diterima, dan aktifkan loging mendalam pada traffic yang masuk agar pola eksploitasi bisa terdeteksi lebih awal. Jika aplikasi berada di balik CDN atau WAF, pastikan aturan keamanan diperbarui untuk menyaring payload yang mencurigakan menuju endpoint RSC.
Penting juga untuk tidak hanya berhenti pada pembaruan versi. Tim开发 harus meninjau kembali arsitektur RSC mereka: apakah semua endpoint Flight benar-benar perlu terekspos, apakah ada komponen yang menerima input pengguna secara langsung tanpa sanitasi, dan apakah mekanisme fallback atau pensiunan versi lama sudah tercantum dalam rencana pemeliharaan. Kerentanan seperti React2Shell mengingatkan bahwa protokol yang dirancang untuk kegunaan tinggi tetap perlu perlindungan yang sama seperti endpoint API konvensional.
Sumber asli: Smashing Magazine