CVE-2026-84997

react/http, ReactPHP üçün hadisə əsaslı, axınlı (streaming) HTTP klient və server tətbiqidir. 0.6.0 versiyasından 1.11.1 versiyasına qədər olan dövrdə, React\Http\Io\ChunkedDecoder yanlış formatlanmış Transfer-Encoding: chunked gövdəsini emal edərkən sonsuz döngəyə girə bilərdi, çünki handleData hər iterasiyada buferin kiçilməsini tələb edirdi. CRLF olmadan tamamlanmamış terminal-chunk treyleri strpos false qaytardıqdan sonra buferi dəyişməz saxlayırdı və tamamlanmış non-terminal chunk-dan sonra gələn tam iki qeyri-CRLF baytı həm xəta, həm də gözləmə mühafizə mexanizmlərini yan keçirdi. Təsirə məruz qalan dekoder React\Http\HttpServer üçün sorğu gövdələrini və React\Http\Browser üçün cavab gövdələrini emal edir ki, bu da bədniyyətli klientə serveri dondurmağa və ya bədniyyətli yaxud kompromisə uğramış serverə klienti dondurmağa imkan verir. Daxil olan sorğuları normallaşdıran reverse proxy server istiqamətini qoruya bilər, lakin çıxan Browser sorğularını qorumur. Bu problem 1.11.1 versiyasında düzəldilib.