CVE-2026-104827

Nome do Software Vulnerável e Versões Afetadas react/http versões 1.0.0 até 1.11.0

Descrição O ReactHttpBrowser não impõe um limite de tamanho ao buffer interno usado para armazenar bytes de cabeçalho de resposta. Quando a função handleData() em ClientRequestStream recebe dados, ela anexa os bytes recebidos a um buffer e aguarda um terminador de cabeçalho (r r ou `

). Um servidor remoto pode explorar isso enviando uma linha de status válida e um cabeçalho parcial, mas retendo o terminador, fazendo com que o buffer cresça indefinidamente. Isso pode levar ao esgotamento do memory limit` do PHP, resultando em uma negação de serviço que trava o event-loop ou o processo worker. Este problema afeta aplicações que buscam URLs controladas ou influenciadas por atacantes, incluindo aquelas acessadas via redirecionamentos.

Recomendações Atualize o react/http para a versão 1.11.1.