React Server Components에서 사용하는 custom streaming protocol인 Flight의 보안 취약점에 대해 심도 있게 다룬 글입니다. 특히 CVSS 10.0을 기록한 React2Shell(CVE-2025-55182) 취약점을 중심으로, Flight 프로토콜이 어떻게 deserialization sink로 작용하여 Remote Code Execution(RCE)을 유발할 수 있는지 설명합니다. 이 글은 Flight 프로토콜의 동작 방식, Prototype Pollution 및 Thenable hijack을 이용한 공격 메커니즘, 그리고 이를 방어하기 위한 실질적인 방법들(Zod를 이용한 Input Validation, server-only 패키지 사용, CSRF 보호 등)을 상세히 안내하고 있습니다. React 개발자라면 반드시 알아야 할 보안 이슈와 대응 방안을 담고 있으니 꼭 확인해 보세요!