React-Server-Dom-Turbopack
A execução remota de código não autenticada é possível em frameworks que suportam React Server Components devido a um erro de dessincronização na serialização do React Flight. O problema ocorre quando as respostas transportam múltiplos arrays tipados que compartilham um buffer subjacente e um valor controlado pelo invasor, afetando especificamente configurações que utilizam Next.js Cache Components (`use cache`). Um invasor pode usar uma requisição HTTP GET manipulada para explorar visualizações de ArrayBuffer desanexadas e enquadramento de comprimento incorreto, transformando uma sobre-leitura de desserialização em uma invocação de Server Action.
Aplicações que não utilizam um servidor ou um framework, bundler ou plugin que suporte React Server Components não são afetadas.