Axios, a well-known front bank, was poisoned! CVE-2026-25639 ثغرات عالية الخطورة قد تسبب انهيار خادم نودج

In February 2026, JavaScript was confronted with a major security crisis!The well-known HTTP client library Axios was found to have a high risk security gap CVE-2026-25639وتسمح هذه الثغرة للمهاجمين عن بُعد بالتسبب في نكران الخدمات عن طريق إرسال طلب خبيث واحد، مما يؤدي إلى الانهيار المفاجئ لخادم نودج. وتؤثر هذه الثغرة على جميع نسخ الأكسيوس إلى 1.13.4 وتقديرات CVSS حتى 7-5 (خطر كبير)لا أعلم تحققوا وتحسّنوا فورًا إن كنتم مطورين أو (نودج)

لمحة عامة عن الثغرات

الحقول	التفاصيل
CVE ID	CVE-2026-25639
النطاق	الخطر الشديد (CVSS 7.5)
الطرود المتأثرة	Axios (npm)
النسخة المتأثرة	<= 1.13.4
الأثر	خدمة الإنكار (تحطم حارس)
ناقل هجوم	الشبكة (للبث)
Fix Version	1.13.5

إنها فكرة جيدة

الثغرة موجودة في أكسيوس MergeConfig functionهذه المهمة توحد أجسام تشكيلية مختلفة عندما تحتوي عملية تجهيز المهام Proto عندما يتم تشكيل الجسم كمفتاح، ينهار الطلب.

تدفق الهجمات

Axios Default Run through Configuration Properties to Merge them
ويشمل المهاجم __proto__ قضية " جوسون "
(أكسيوس) حاول إيجاد سياسة مدمجة، لكن بشكل غير متوقع Object.prototype
يحاول الرمز أن يسمي النموذج الأولي كوظيفة
لأنه Object.prototype إنّه غرض، وليس وظيفة. ارمها TypeError
تحطم الطلب في الحال

مثال للهجوم

المهاجم ببساطة أرسل الحمولة لكسر الخادم

{"__proto__": {"x": 1}}

إنها طريقة بسيطة للهجومدرجة تعقيد الهجومالجرذان، ولكن ضارة جدا.

مشهد الهجوم

وهذه الثغرة خاصة بالتطبيقات التالية:

قبولمدخلات مراقبة المستعملينالطلب (مثل الهيئة المشتركة بين الوزارات)
الاستخدام JSON.parse() Parsing Input
Import a parsed object into the Axios formation (e. g. axios.get(url, userConfig)لست متأكدة

The application of these conditions is at risk of being attacked.طلب خبيث سيسمح بالخدمة بأكملها الخطوهو يؤثر على جميع المستعملين.

Distination from prototype pollution

ما نحتاجه هو هذه الثغرةمختلف عن النموذج الأولي التقليدي لثغرة التلوثلا أعلم In the traditional prototype contamination, the attackers influence other objects by modifying the object prototype, and in this gap,لقد تحطم الطلب قبل تلوث الخواصلا أعلم

آلية الانهيار هذه تجعل الهجوم أكثر مباشرة وقاتلةبدون سلسلة استخدام معقدة، انتهى الأمرلا أعلم

برنامج إعادة التأهيل

انهض الآن

Axios، الرسمي. الفقرة 1-13-5 منظمات أخرى __proto__ مفتاح منع الأخطاء

Use npm to upgrade:

npm update axios

استخدام البطاطس للتحديث:

yarn upgrade axios

تحقق من النسخة الحالية:

npm list axios

Authentication fixes

تحسين لضمان أن تكون النسخة المحورية من الطرد.

"axios": ">=1.13.5"

● نطاق الأثر

Axios is one of the most popular HTTP client banks in JavaScript ecosystems, and it is the most popular HTTP client bank in the world.أكثر من 50 مليون عملية تنزيل في الأسبوع.لا أعلم ولهذه الثغرة آثار واسعة النطاق:

الجبهة: Use Axios Vue, React, Angular application
Node.js Backendتطبيق نهاية الخدمة باستخدام أكسيوس
بنية الخدمات البالغة الصغرمنظمات أخرى
التطبيقات المؤسسية: A large number of enterprise systems rely on Axios

كيف؟

1 - فحص النسخ المعال

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2 - استخدام أدوات المسح الأمني

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

المشورة المتعلقة بالسلامة

انهض الآن: All projects using axios п = 1.13.4 are immediately upgraded to 1.13.5
الاعتماد على مراجعة الحسابات: التحقق من جميع تعول المشاريع لضمان عدم إدخال النسخ القديمة بصورة غير مباشرة
التوثيق: التحقق الصارم من مدخل المستخدم لتجنب الدخول المباشر في الجسم التشكيلي
إنذار أمني: تعزيز مراقبة الخواديم واكتشاف الانهيار الشاذ في الوقت المناسب
اختبار الأمنإجراء اختبارات أمنية منتظمة لكشف الثغرات المحتملة

موجز

CVE-2026-25639 هي واحدة من مكتبة Axiosالحرمان من الثغرات في الخدماتويمكن للمهاجمين أن يجعلوا خادم (نودج) ينهار في لحظة بواسطة أشياء خبيثة من (جوسون) وهذه الثغرة لها تأثير واسع النطاق وضار للغاية.

وبصفتنا مطورين، يجب أن نبقى حذرين.● القيام في الوقت المناسب بتحديث التبعية، والتحقق من مدخلات المستعملين، وتحسين الاختبارات الأمنية. ويمكن أيضا أن تكون السلامة، التي يبدو أنها مهمة مشتركة بسيطة، نقطة دخول فتاكة.

إذا كنت لا تزال تستخدم الاكسيوس = 1.13.4،يرجى رفع المستوى فورا إلى 1.13.5.احمي تطبيقاتك ومستعمليها

لا داعي للقلق