CVE-2026-84997

WysokieCVSS 7.5

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.66%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

react/http (część ReactPHP) w wersjach od 0.6.0 do 1.11.1 zawiera podatność polegającą na możliwości zapętlenia się w funkcji ChunkedDecoder podczas przetwarzania złośliwego nagłówka Transfer-Encoding: chunked, co może zamrozić serwer lub klienta.

Ocena ryzyka

Złośliwy klient lub serwer może spowodować odmowę usługi (DoS) poprzez zamrożenie procesu, co wpływa na dostępność aplikacji.

Rekomendacja

Zaktualizuj react/http do wersji 1.11.1 lub nowszej. Rozważ zastosowanie odwrotnego proxy do normalizacji żądań przychodzących.

Inne podatności w react/http

CVE-2026-104827Wysokie
react/http to sterowana zdarzeniami, strumieniowa implementacja klienta i serwera HTTP dla ReactPHP. Od wersji 1.0.0 do 1.11.1 React\Http\Browser używa ClientRequestStream::handleData() do dopisywania bajtów nagłówków odpowiedzi do wewnętrznego bufora bez limitu rozmiaru. Zdalny serwer może wysłać poprawną linię statusu i częściowy nagłówek, wstrzymać terminator \r\n\r\n lub \n\n i kontynuować strumieniowanie danych, przez co bufor rośnie przez cały czas trwania połączenia.

Oryginalny opis (angielski, źródło NVD)

react/http is an event-driven, streaming HTTP client and server implementation for ReactPHP. From 0.6.0 until 1.11.1, React\Http\Io\ChunkedDecoder could enter an infinite loop while processing a malformed Transfer-Encoding: chunked body because handleData required its buffer to shrink on every iteration. An incomplete terminal-chunk trailer without CRLF left the buffer unchanged after strpos returned false, and exactly two non-CRLF bytes after a completed non-terminal chunk bypassed both the error and wait guards. The affected decoder processes request bodies for React\Http\HttpServer and response bodies for React\Http\Browser, allowing a malicious client to freeze a server or a malicious or compromised server to freeze a client. A reverse proxy that normalizes inbound requests may protect the server direction but does not protect outbound Browser requests. This issue is fixed in version 1.11.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS