CVE-2026-84997 in http
Tóm tắt
Bởi VulDB • 16/09/2026
react/http là một triển khai HTTP client và server dựa trên sự kiện (event-driven) và streaming cho ReactPHP. Từ phiên bản 0.6.0 đến 1.11.1, lớp `React\Http\Io\ChunkedDecoder` có thể rơi vào vòng lặp vô hạn khi xử lý thân yêu cầu có định dạng không hợp lệ với tiêu đề `Transfer-Encoding: chunked`, do phương thức `handleData` yêu cầu bộ đệm (buffer) phải co lại sau mỗi lần lặp. Một trailer phần kết thúc (terminal-chunk trailer) bị thiếu ký tự CRLF khiến bộ đệm không thay đổi khi hàm `strpos` trả về false, và chính xác hai byte không phải là CRLF ngay sau một chunk non-terminal hoàn tất đã vượt qua cả các cơ chế kiểm tra lỗi lẫn chờ đợi. Bộ giải mã này xử lý thân yêu cầu cho `React\Http\HttpServer` và thân phản hồi cho `React\Http\Browser`, cho phép một client độc hại làm đóng băng (freeze) server, hoặc một server độc hại/đã bị xâm nhập làm đóng băng client. Một reverse proxy chuẩn hóa các yêu cầu đầu vào có thể bảo vệ hướng server nhưng không bảo vệ được các yêu cầu từ Browser ở chiều ra. Vấn đề này đã được sửa trong phiên bản 1.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.