CVE-2026-104827

WysokieCVSS 7.5

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

react/http to sterowana zdarzeniami, strumieniowa implementacja klienta i serwera HTTP dla ReactPHP. Od wersji 1.0.0 do 1.11.1 React\Http\Browser używa ClientRequestStream::handleData() do dopisywania bajtów nagłówków odpowiedzi do wewnętrznego bufora bez limitu rozmiaru. Zdalny serwer może wysłać poprawną linię statusu i częściowy nagłówek, wstrzymać terminator \r\n\r\n lub \n\n i kontynuować strumieniowanie danych, przez co bufor rośnie przez cały czas trwania połączenia.

Ocena ryzyka

Aplikacje pobierające kontrolowane przez atakującego URL-e mogą wyczerpać pamięć PHP i zawiesić pętlę zdarzeń lub proces workera, powodując denial of service.

Rekomendacja

Zaktualizuj react/http do wersji 1.11.1 lub nowszej.

Inne podatności w react/http

CVE-2026-84997Wysokie
react/http (część ReactPHP) w wersjach od 0.6.0 do 1.11.1 zawiera podatność polegającą na możliwości zapętlenia się w funkcji ChunkedDecoder podczas przetwarzania złośliwego nagłówka Transfer-Encoding: chunked, co może zamrozić serwer lub klienta.

Oryginalny opis (angielski, źródło NVD)

react/http is an event-driven, streaming HTTP client and server implementation for ReactPHP. From 1.0.0 until 1.11.1, React\Http\Browser uses ClientRequestStream::handleData() to append response-header bytes to an internal buffer without enforcing a size limit. A remote server can send a valid status line and partial header, withhold the \r\n\r\n or \n\n header terminator, and continue streaming data so the buffer grows for the life of the connection. Applications that fetch attacker-controlled or attacker-influenced URLs, including URLs reached through redirects, can exhaust PHP memory_limit and crash the event-loop or worker process. Confidentiality and integrity are unaffected. This issue is fixed in version 1.11.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS