San React2Shell, che deserializzava la grazia

Patrono dei Server Components, dei framework che fanno tutto da soli e degli sviluppatori frontend che scoprono di avere un server.

Vita

Il 3 dicembre 2025 il team di React rivelò una falla trovata da Lachlan Davidson negli React Server Components: le richieste dirette alle Server Function venivano deserializzate senza le dovute cautele, e una sola richiesta HTTP bastava per eseguire codice sul server, senza autenticazione. Punteggio pieno, CVSS 10, e Next.js colpito di riflesso perché porta con sé la propria copia di React. Gli attacchi reali cominciarono in poche ore.

Preghiera

O San React2Shell, che con un solo payload trasformi un componente in una shell, fa' che i nostri server deserializzino solo ciò che hanno chiesto. Amen.

Come si festeggia

Si festeggia aggiornando React e Next.js alle versioni corrette, e chiedendosi quante altre cose il framework faccia lato server.

Chi renderizza sul server, sul server raccoglie.