Giriş: React Server Components (RSC) Ateş Altında

React ekibi, geliştiricileri acil bir güncelleme yapmaya çağıran kritik bir güvenlik bülteni yayınladı. Özellikle modern React mimarisinin (ve Next.js gibi frameworklerin) bel kemiği olan Server Components yapısını etkileyen üç yeni zafiyet, üretim ortamındaki uygulamaları ciddi risk altına sokuyor.

Araştırmacılar, bu açıkların sunucuları sonsuz döngüye sokarak çökerttiğini (DoS) veya sunucu tarafında kalması gereken gizli iş mantığını (Source Code Leak) sızdırdığını ortaya çıkardı.

🔍 Zafiyetlerin Teknik Analizi

Sorunlar iki ana kategoride toplanıyor: Hizmet Reddi (DoS) ve Bilgi İfşası.

1. Sunucu Çökerten İkizler (CVE-2025-55184 & CVE-2025-67779)

Bu iki zafiyet, saldırganların sunucu fonksiyonlarını manipüle ederek sistemi bir “Sonsuz Döngüye” (Infinite Loop) sokmasına olanak tanıyor.

• Mekanizma: Saldırgan, özel olarak hazırlanmış bir istek göndererek sunucunun işlemi asla tamamlayamamasını sağlar.

• Sonuç (DoS): Sunucu işlemcisi (CPU) %100 kullanıma ulaşır, bellek (RAM) şişer ve sunucu meşru kullanıcılara yanıt veremez hale gelir veya tamamen çöker.

2. Gizli Kod Sızıntısı (CVE-2025-55183)

Belki de en korkutucu olanı budur. Bu açık, sunucu tarafında çalışması gereken fonksiyonların kaynak kodunun istemciye (saldırgana) sızmasına neden oluyor.

• Risk: Geliştiriciler genellikle sunucu fonksiyonlarında (Server Functions) veritabanı sorguları, özel iş mantıkları ve bazen hatalı bir pratik olarak sabitlenmiş şifreler/API anahtarları (Hardcoded Secrets) barındırır.

• Sonuç: Saldırgan, uygulamanızın beynini okuyabilir ve içindeki sırları çalabilir.

🛠️ Teknik Özet

🛡️ Çözüm: Ne Yapmalı?

Bu açıklar kodlamadan ziyade React’in çekirdek yapısındaki hatalardan kaynaklandığı için tek çözüm güncellemedir.

1. Paketleri Güncelleyin

Projenizdeki react ve react-dom paketlerini (ve kullanıyorsanız Next.js gibi frameworkleri) en son kararlı sürüme yükseltin.

# npm ile
npm install react@latest react-dom@latest

# yarn ile
yarn upgrade react react-dom

2. Kod Hijyeni (Best Practices)

CVE-2025-55183 gibi sızıntı risklerine karşı her zaman savunmada kalın:

• Asla Sır Saklamayın: Sunucu kodlarınızın içinde asla API anahtarları, şifreler veya veritabanı bağlantı dizeleri (connection strings) açık metin olarak bulunmamalıdır.

• Environment Variables: Hassas veriler için her zaman .env dosyalarını ve çevre değişkenlerini kullanın. Kod sızsa bile, saldırgan sadece process.env.API_KEY görür, gerçek anahtarı göremez.