CVE-2026-84997 in http
Résumé
par VulDB • 16/09/2026
react/http est une implémentation d'un client et serveur HTTP événementiels et en streaming pour ReactPHP. De la version 0.6.0 à la 1.11.1, le composant React\Http\Io\ChunkedDecoder pouvait entrer dans une boucle infinie lors du traitement d'un corps de requête avec un Transfer-Encoding: chunké malformé, car handleData exigeait que son tampon (buffer) rétrécisse à chaque itération. Un trailer de fin de bloc incomplet sans CRLF laissait le tampon inchangé après que strpos ait retourné false, et exactement deux octets non-CRLF après un bloc terminal complété contornaient les garde-fous d'erreur et d'attente. Le décodeur concerné traite les corps des requêtes pour React\Http\HttpServer ainsi que les corps des réponses pour React\Http\Browser, permettant à un client malveillant de geler (freeze) un serveur ou à un serveur malveillant ou compromis de geler un client. Un proxy inverse qui normalise les requêtes entrantes peut protéger la direction du serveur mais ne protège pas les requêtes sortantes via Browser. Ce problème est corrigé dans la version 1.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.