CVE-2026-84997 in http
Riassunto
di VulDB • 16/09/2026
react/http è un'implementazione event-driven e streaming di HTTP client e server per ReactPHP. Dalla versione 0.6.0 alla 1.11.1, React\Http\Io\ChunkedDecoder poteva entrare in un loop infinito durante l'elaborazione di un corpo Transfer-Encoding: chunked non valido perché handleData richiedeva che il buffer si riducesse ad ogni iterazione. Un trailer per la terminazione del chunk incompleto senza CRLF lasciava il buffer invariato dopo che strpos restituiva false, e esattamente due byte non-CRLF dopo un chunk non terminale completato bypassavano sia i controlli di errore che quelli di attesa. Il decoder interessato elabora i corpi delle richieste per React\Http\HttpServer e i corpi delle risposte per React\Http\Browser, consentendo a un client malintenzionato di bloccare il server o a un server malintenzionato o compromesso di bloccare un client. Un reverse proxy che normalizza le richieste in ingresso potrebbe proteggere la direzione del server ma non protegge le richieste in uscita da Browser. Questo problema è risolto nella versione 1.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.