В то время как React Server Components полагаются на собственный протокол Flight для потоковой передачи интерактивных пользовательских интерфейсов, этот же механизм создает мощные уязвимости десериализации, которые могут использовать злоумышленники. Дургеш Павар подробно описывает механику уязвимости CVSS 10.0 «React2Shell», чтобы показать, как манипулирование протоколом может привести к удаленному выполнению кода.