Yönetici Özeti ve Mimari Önem
React denial-of-service-and-source-cod sürümü, React Sunucu Bileşenleri (RSC) içinde iki ek açığın keşfedilmesinin ardından kritik bir güvenlik müdahalesini temsil eder. Güvenlik araştırmacıları bu kusurları, geçen haftaki yüksek profilli açık için dağıtılan yamaları atlatmaya veya bunlardan yararlanmaya çalışırken ortaya çıkardılar. Bu sürüm, yüksek ciddiyete sahip bir Hizmet Engelleme (Denial of Service) açığını (CVE-2025-55184) ve orta ciddiyete sahip bir Kaynak Kodu İfşası açığını (CVE-2025-55183) ele almaktadır. Bu keşifler, yürütme sınırlarının hem istemci tarafındaki mutabakatı (reconciliation) hem de sunucu tarafındaki işleme (rendering) boru hatlarını kapsadığı melez bir çalışma zamanı ortamını güvenceye almanın muazzam karmaşıklığını vurgulamaktadır.
Mimari açıdan React Sunucu Bileşenleri, durum ve işleme mantığının modern web uygulamaları üzerinden akış şeklini kökten değiştirmektedir. Bileşenlerin yalnızca sunucuda yürütülmesine izin vererek React, geleneksel güven sınırlarını bulanıklaştırır. CVE-2025-55184 ve CVE-2025-55183 gibi açıklar ortaya çıktığında, sunucu tarafı serileştirme protokolleri ve veri yükü (payload) işleme tarafından sunulan saldırı yüzeyini gözler önüne sererler. Bu yama yalnızca rutin bir bakım güncellemesi değildir; sunucu işleme sınırının bütünlüğünü yeniden tesis eden, hatalı biçimlendirilmiş isteklerin sunucu kaynaklarını tüketmemesini veya yetkisiz istemcilere dahili uygulama detaylarını yanlışlıkla sızdırmamasını sağlayan esansiyel bir mimari güçlendirmedir.
Temel Geliştirmeler ve Geliştirici Ergonomisi
denial-of-service-and-source-cod sürümünün birincil odağı, React Sunucu Bileşenleri tarafından kullanılan dahili serileştirme ve seri durumdan çıkarma (deserialization) mekanizmalarını sertleştirmektir. Özellikle React çekirdek ekibi, gelen sunucu eylemi (server action) yüklerinin ve bileşen özelliklerinin (props) nasıl ayrıştırıldığını ve doğrulandığını yeniden yapılandırmıştır. Hidratasyon ve akış (streaming) aşamalarında daha katı tür denetimi kısıtlamaları ve bellek ayırma sınırları getirilerek, çerçeve artık kaynak tükenmesine veya bellek sızıntılarına neden olmak üzere tasarlanmış yükleri proaktif olarak reddetmekte ve protokol alım katmanında CVE-2025-55184'ü etkisiz hale getirmektedir.
Servis Engelleme vektörünün ele alınmasına ek olarak bu sürüm, CVE-2025-55183'ü hafifletmek için güçlü bir kapsülleme mantığı sunmaktadır. Sıfır konfigürasyonlu güvenlik varsayılanları sayesinde geliştirici ergonomisi korunmaktadır; geliştiricilerin bileşen mantığını yeniden yazması veya RSC hakkındaki mevcut zihinsel modellerini değiştirmesi gerekmez. Bunun yerine geliştirmeler, çerçevenin API yüzeyinin altında şeffaf bir şekilde çalışır. Dahili modül referans haritaları ve yalnızca sunucuya özel modüller, herhangi bir yanıt akışı gönderilmeden önce sıkı bir temizlemeden (sanitization) geçirilir; böylece ham kaynak kodunun ve dahili değişken bildirimlerinin manipüle edilmiş bileşen ağaçları veya özel istek başlıkları aracılığıyla incelenememesi sağlanır.
Mimari Karşılaştırma Matrisi
| Boyut | Önceki Temel Çizgi | React denial-of-service-and-source-cod | Mimari Etki |
|---|---|---|---|
| Gecikme (Latency) | Yük ayrıştırma sırasında minimum ek yük | Katı doğrulama nedeniyle ihmal edilebilir artış | Gelişmiş yük denetimi, mikro saniye düzeyinde CPU ek yükü ekler, bellek güvenliği garantileriyle etkisiz hale getirilir. |
| Bellek | Hatalı biçimlendirilmiş proplarla kısıtlanmamış tahsise karşı savunmasız | Sıkı boyut sınırlarıyla sınırlı tahsisat | OOM çökmelerini önler ve CVE-2025-55184 Hizmet Engelleme vektörlerini hafifletir. |
| API'ler | Standart RSC ve Sunucu Eylemleri arayüzü | Değişmemiş genel yüzey, sertleştirilmiş dahili ayrıştırıcı | CVE-2025-55183 için büyük ölçüde iyileştirilmiş yük temizleme özelliğine sahip, geriye dönük uyumlu API sözleşmesi. |
Kritik Değişiklikler ve Geçiş Uyarıları
Önceki sürümlerle tamamen geriye dönük uyumludur. denial-of-service-and-source-cod içinde sunulan güncellemeler genel kullanıma açık API'leri, bileşen yaşam döngülerini veya sunucu eylemi imzalarını değiştirmez. React Sunucu Bileşenlerinden yararlanan uygulamalar, uygulama mantığını değiştirmeden veya mevcut yönlendirme yapılandırmalarını yeniden düzenlemeden bu sürümü benimsiyebilir. Bununla birlikte, gevşek yük serileştirme davranışlarına veya sunucu bileşeni proplarındaki belgelenmemiş uç durumlara bilerek veya bilmeyerek güvenen uygulamalar, istek yapıları yeni zorunlu kılınan güvenlik sınırlarının dışına çıkarsa doğrulama hatalarıyla karşılaşabilir.
Adım Adım Yükseltme Kılavuzu
denial-of-service-and-source-cod sürümüne yükseltme yapmak, temel React bağımlılıklarınızı en son yamalanmış sürüm güncellemenizi gerektirir. Uygulamanızın güvenliğini sağlamak için şu adımları izleyin:
Bağımlılıkları Güncelleyin: Tüm React ve ReactDOM paketlerinde en son güvenli sürümü almak için paket yöneticisi güncelleme komutunuzu çalıştırın.
npm install react@latest react-dom@latest # veya yarn kullanarak yarn add react@latest react-dom@latestSunucu Çerçevesi Entegrasyonlarını Doğrulayın: Next.js, Remix veya React Sunucu Bileşenlerini kullanan Vite eklentileri gibi çerçeveler kullanıyorsanız, çerçeve adaptörünüzün de ilgili güvenlik yaması sürümüne güncellendiğinden emin olun.
Yük İşlemeyi Test Edin: Sunucu eylemlerinin ve akış uç noktalarının meşru yükleri yeni temizleme kuralları altında doğru şekilde işleyip işlemediğini doğrulamak için entegrasyon ve yük testi paketlerinizi çalıştırın.