CVE-2026-104827 in http
Riassunto
di VulDB • 15/10/2026
react/http è un'implementazione di client e server HTTP basata su eventi e streaming per ReactPHP. Dalla versione 1.0.0 alla 1.11.1, React\Http\Browser utilizza ClientRequestStream::handleData() per aggiungere byte dell'intestazione della risposta a un buffer interno senza imporre alcun limite di dimensione. Un server remoto può inviare una riga di stato valida e intestazioni parziali, trattenere il terminatore delle intestazioni \r\n\r\n o \n\n e continuare lo streaming dei dati in modo che il buffer cresca per tutta la durata della connessione. Le applicazioni che recuperano URL controllati o influenzati dall'attaccante, inclusi gli URL raggiunti tramite reindirizzamenti (redirect), possono esaurire il limite di memoria PHP (memory_limit) e causare il crash del ciclo degli eventi (event-loop) o del processo worker. La riservatezza e l'integrità non sono interessate. Questo problema è stato risolto nella versione 1.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.