CVE-2026-104827

Estado: AplazadaAlta (7.5)—

Gravedad7.5Alta · CVSS 3.1

Probabilidad de explotación0.43 %mayor que el 36 % de las CVE

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

react/http es un cliente y servidor HTTP en streaming y basado en eventos para ReactPHP. Desde la versión 1.0.0 hasta la 1.11.1, React\Http\Browser utiliza ClientRequestStream::handleData() para añadir bytes de cabecera de respuesta a un búfer interno sin aplicar un límite de tamaño. Un servidor remoto puede enviar una línea de estado válida y una cabecera parcial, retener el terminador de cabeceras \r\n\r\n o \n\n y seguir enviando datos, de modo que el búfer crece durante toda la vida de la conexión.

Leer descripción completaMostrar menos

Las aplicaciones que obtienen URL controladas por un atacante o influidas por él, incluidas las URL alcanzadas mediante redirecciones, pueden agotar el memory_limit de PHP y bloquear el bucle de eventos o el proceso worker. La confidencialidad y la integridad no se ven afectadas. Este problema está corregido en la versión 1.11.1.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 7.5
Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.43 %
Percentil entre todas las CVEs puntuadas: 36
Fecha de la puntuación: 20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1190 Exploit Public-Facing Applicationinitial access90 %
Impacto principalT1499 Endpoint Denial of Serviceimpact88 %

El vector AV:N/PR:N/UI:N indica explotación remota sin credenciales; el buffer de cabeceras crece sin límite y agota la memoria PHP, tumbando el proceso (solo disponibilidad).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Filter Network Traffic Vulnerability Scanning Privileged Account Management Network Segmentation Limit Access to Resource Over Network Application Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Reactphp — Http^AI

CWE

CWE-770

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-104827",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-104827",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-16T15:22:22.674618Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "reactphp",
          "product": "http",
          "versions": [
            {
              "status": "affected",
              "version": ">= 1.0.0, < 1.11.1"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-15T19:17:14.933",
  "references": [
    {
      "url": "https://github.com/reactphp/http/commit/2558622d0b76227c60c61eac8a61572cb6638e8c",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/reactphp/http/releases/tag/v1.11.1",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/reactphp/http/security/advisories/GHSA-g4f2-2pf3-2pwj",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-770"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "react/http is an event-driven, streaming HTTP client and server implementation for ReactPHP. From 1.0.0 until 1.11.1, React\\Http\\Browser uses ClientRequestStream::handleData() to append response-header bytes to an internal buffer without enforcing a size limit. A remote server can send a valid status line and partial header, withhold the \\r\\n\\r\\n or \\n\\n header terminator, and continue streaming data so the buffer grows for the life of the connection. Applications that fetch attacker-controlled or attacker-influenced URLs, including URLs reached through redirects, can exhaust PHP memory_limit and crash the event-loop or worker process. Confidentiality and integrity are unaffected. This issue is fixed in version 1.11.1."
    }
  ],
  "lastModified": "2026-10-16T20:04:29.760",
  "sourceIdentifier": "security-advisories@github.com"
}