React Server Components在处理ReplyFlightStream的反序列化数据时缺乏必要校验，攻击者可构造任意模型字段、循环结构、Server Reference与multipart/form-data，诱使解析流程进入异常路径并触发模块加载与引用执行链，最终导致未授权代码执行。

官方已发布安全补丁，请及时更新至最新版本。