CVE-2023-26044

react/http, ReactPHP için olay güdümlü, akış tabanlı bir HTTP istemcisi ve sunucusu uygulamasıdır. ReactPHP'nin HTTP sunucu bileşeninin önceki sürümleri, büyük HTTP istek gövdeleri işlenirken yüksek CPU yüküne neden olabilen potansiyel bir DoS zafiyeti içermektedir. Bu zafiyetin varsayılan yapılandırma üzerinde çok az etkisi vardır veya hiç yoktur; ancak RequestBodyBufferMiddleware çok büyük ayarlar ile açıkça kullanıldığında istismar edilebilir. Bu durum, isteklerin işlenmesi için büyük miktarda CPU zamanı tüketilmesine yol açabilir ve meşru kullanıcı isteklerinin işlenmesini önemli ölçüde geciktirebilir veya yavaşlatabilir. Bu sorun 1.9.0 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, sorunu hafifletmek için RequestBodyBufferMiddleware kullanarak istek gövdesini makul bir değerle sınırlı tutabilirler. Altyapı veya DevOps düzeyinde bir geçici çözüm ise, aşırı büyük HTTP istek gövdelerini filtrelemek için ReactPHP HTTP sunucusunun önüne bir ters proxy yerleştirmek olabilir.