React Server Components atau RSC kayaknya udah jadi andalan para developer buat ngebikin aplikasi web yang super cepat dan interaktif — tanpa perlu render di browser client. Caranya? Lewat custom Flight protocol yang bikin UI stream langsung dari server. Keren kan? Sayangnya, di balik kemewahan itu, ternyata ada celah berbahaya yang bisa dieksploitasi hacker.
Di dalam mekanisme deserialisasi Flight protocol, ada yang disebut deserialization sinks — titik di mana data mentah dikonversi kembali jadi objek React. Nah, inilah yang jadi masalah besar. Peneliti Durgesh Pawar mendapati bahwa dengan memanipulasi aliran data protokol ini, attackers bisa menyuntikkan payload berbahaya dan menjalankan kode secara jarak jauh — alias Remote Code Execution (RCE). Bukan main-main, serangan React2Shell ini mendapat skor CVSS 10.0 alias perfect-level bahaya. Dalam 2026, di mana RSC udah makin mainstream di production-grade apps, celah semacam ini bisa bikin ribuan aplikasi berisiko.
Bayangkan aplikasi e-commerce atau dashboard SaaS kamu tiba-tiba bisa dibobol cuma lewat manipulasi request Flight protocol-nya. Data pengguna bocor, server dikuasai — semuanya bisa terjadi dalam satu langkah. Jadi, bagi kamu yang lagi ngenesain atau ngelola RSC-based project, sekarang adalah the right time buat ngecek ulang keamanan pipeline deserialisasi kamu. Patch dari React.js udah mulai bergulir, tapi defense-in-depth tetap jadi kunci utama.
Kalau kamu butuh bantuan buat auditing keamanan web app atau bikin solusi IT yang secure dari ground up, NOMSTD Creative Studio siap bantu — kami juga handle pembuatan website dan layanan UI/UX yang modern, scalable, dan dibangun
