Lessons from React2Shell

DEV Community Follow A space to discuss and keep up software development and manage your software career Future Follow News and discussion of science and technology such as AI, VR, cryptocurrency, quantum computing, and more. Open Forem Follow A general discussion space for the Forem community. If it doesn't have a home elsewhere, it belongs here

[gabill]

スケールのために全てを犠牲にする覚悟のMeta、自社サービスに誘導したいVercel、尖った実験をやりたいReact開発者の3者の思惑が一致したのが今のReactで、今の路線は大半の利用者を幸せにしないんじゃないかと思えてきた。

[z67kjh]

つまりStruts2みたいに定期的にRCEを起こすってことだろう

[door-s-dev]

"React Server Components represent a fundamental architectural mistake. Patching one exploit doesn't fix the underlying problem"

[YassLab]

“The vulnerability wasn't an implementation bug that slipped through code review. It was the predictable consequence of violating a fundamental security principle: complex deserialization of untrusted data leads to remote code execution. If you can't do it perfectly don't do it at all.”

[manaten]

自分は根本原因はプロトタイプベース言語をサーバーで使ってることなんじゃないかって思ってきてる。RSCは先鋭的なので問題を顕在化させやすかっただけで。チャレンジには言語レベルでのセキュアさが必要なのかなと

[uehaj]

だから全ファイルに"use client"しろとあれほど

[mayumayu_nimolove]

つまりどうゆう事だってばよ

[xsde]

"信頼されないデータの複雑なデシリアライズはリモートコード実行を招く" "JavaScriptロックイン: 適材適所の喪失" // 最後のThe Broader Patternにも手厳しいことが書いてある

[mkusaka]

ReactのCVE-2025-55182(CVSS 10.0)を題材に、Flightの危険なdeserializationやRSC/‘use server’の問題点を解説。　https://sider.ai/share/8c6c7c675cbc1a25944fa19b6b50647f