CVE-2026-84997 in http
Сводка
по VulDB • 16.09.2026
react/http — это реализация HTTP-клиента и сервера с обработкой событий и потоковой передачей данных для ReactPHP. В версиях от 0.6.0 до 1.11.1 класс React\Http\Io\ChunkedDecoder мог попадать в бесконечный цикл при обработке некорректного тела запроса с заголовком Transfer-Encoding: chunked, поскольку метод handleData требовал уменьшения размера буфера на каждой итерации. Неполная терминальная чанк-трейлер без последовательности CRLF оставляла буфер неизменным после того, как функция strpos возвращала false, а ровно два байта, не являющиеся CRLF, после завершенного нетерминального чанка обходили обе проверки на ошибки и ожидание. Затронутый декодер обрабатывает тела запросов для React\Http\HttpServer и тела ответов для React\Http\Browser, что позволяет злоумышленнику с помощью клиента вызвать зависание сервера или позволить вредоносному или скомпрометированному серверу заморозить клиентскую сторону. Обратный прокси-сервер, нормализующий входящие запросы, может защитить направление от сервера, но не защищает исходящие запросы через Browser. Эта проблема исправлена в версии 1.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.