何が起きたか
HeaderUtils::split() の正規表現が空白の並びで指数的にバックトラックするため、Cache-Control ヘッダーを細工したリクエスト1件で1秒近く CPU を消費させられます。Request を作るたびに呼ばれるので、HTTP を受けるアプリはすべて認証なしで到達可能です。また、YAML のインライン要素を深く入れ子にした文書で再帰が上限なく進み、プロセスが落ちます。Yaml コンポーネントが入っていれば、acceptFormat を制限していない MapRequestPayload にリクエスト1件で届きます。
やること
ヘッダーの件の最初の修正版（6.4.46〜6.4.47 / 7.4.19〜7.4.20 / 8.1.7〜8.1.8）は空白区切りの分割を壊していたため、5.4.54 / 6.4.48 / 7.4.21 / 8.1.9 以降へ更新します。YAML の件はこれらの版で修正済みです。
出典
GitHub Advisory Database（GHSA-r925-mgvr-h9cc）github.com英語 ↗GitHub Advisory Database（GHSA-2v3c-qxhr-7vpv）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。