Vulnerabilidad crítica en React Server Components

Todo comenzó con un detalle que casi pasé por alto… una respuesta del servidor que React no debía

generar. Una anomalía mínima, pero suficiente para hacerme detener. Cuando revisé el

código, sentí un escalofrío: no era un bug común. Era una brecha. Un punto débil enterrado

en los React Server Components, en el protocolo Flight, donde la deserialización

podía torcerse y convertirse en un arma. La llamaron React2Shell, CVE-2025-55182,

una vulnerabilidad crítica capaz de permitir que un atacante ejecute código en el servidor

con una simple petición manipulada. Sin claves. Sin permisos. Sin ruido.

Y lo peor… ya hay grupos utilizándola, explotando servicios expuestos en la nube apenas horas