Български

← Обратно към списъка

Аксиос, известна фронтова банка, е бил отровен! CVE-2026-25639 Високорискови вратички, които могат да причинят разрушаването на сървъра Node.js

itadol5j

През февруари 2026 г. JavaScript беше изправен пред сериозна криза на сигурността!Известното HTTP клиентска библиотека Axios е установено, че има високорискова дупка в сигурността CVE-2026-25639Тази вратичка позволява на отдалечени нападатели да задействат отказ от услуги (DoS) атака чрез изпращане на едно злонамерено искане, което води до внезапно срутване на сървъра Node.js. Тази вратичка засяга всички версии на Axios до 1.13.4 и CVSS рейтинги до 7, 5 (висок риск)Не знам. Проверете и надграждане веднага, ако сте отпред или Node.js разработчик!

Аксиос - покритие за пробив в сигурността

Преглед на пропуските

ПолетаПодробности
CVE IDCVE-2026-25639
РазмерВисок риск (CVSS 7, 5)
Засегнати опаковкиаксиос (npm)
Засегната версия<= 1.13.4
ВъздействиеОтрицателно обслужване (срутване на сървъра)
Вектор на атакатаМрежа (ремоте)
Fix Version1.13.5

Добра идея.

В Аксиос има вратичка. Сливане на функцията Config, Тази функция консолидира различни конфигурационни обекти. Когато обработката на функциите съдържа прото Когато обектът е конфигуриран като ключ, приложението се срива.

Атакуващ поток

  • Axios по подразбиране Run through Configuration Properties to Mege them
  • Нападателят включва __proto__ Злонамерен обект JSON
  • Аксиос се опита да намери политика за сливане, но неочаквано получи Object.prototype
  • Кодът се опитва да нарече прототипа като функция
  • Защото Object.prototype Това е обект, не функция. Хвърли го. TypeError
  • Приложението се срива мигновено

Пример за атака

Нападателят просто е изпратил полезен товар, за да разбие сървъра:

{"__proto__": {"x": 1}}

Това е лесен начин за атака.Сложност при ниска атакаРейтинги, но много вредни.

Атаката.

Тази вратичка е специфична за следните приложения:

  • ПриеманеВход за контрол на потребителяПриложение (напр. тяло на JSON)
  • Използване JSON.parse() Вход за анализ
  • Внасяне на съчленен обект в конфигурацията Axios (напр. axios.get(url, userConfig)Не съм сигурен.

Прилагането на тези условия е изложено на риск от нападение.Злонамерена молба ще позволи цялата служба. РедТова засяга всички потребители.

Разграничение от замърсяването на прототипа

Това, което се нуждае от внимание е тази вратичка.Различен от традиционния прототип за замърсяване вратичка.Не знам. В традиционното прототипно замърсяване, нападателите влияят върху други обекти чрез промяна на прототипа на обекта, и в тази вратичка,Молбата се е разбила преди имотите да бъдат замърсени.Не знам.

Този срутващ механизъм прави атаката по-директна и смъртоносна.Без сложна верига за използване, всичко свърши.Не знам.

Програма за рехабилитация

Обновяване сега

Аксиос, официално. Версия 1.13.5 Друг организатор __proto__ ключ за предотвратяване на типови грешки.

Използване на npm за надграждане:

npm update axios

Използване на прежда за надграждане:

yarn upgrade axios

Проверка на текущата версия:

npm list axios

Определяне на автентичността

Ъпгрейд, за да се гарантира, че аксиос версията на пакета.json е:

"axios": ">=1.13.5"

• Обхват на удара

Axios е една от най-популярните HTTP клиенти банки в JavaScript екосистеми, и това е най-популярната HTTP клиентска банка в света.Над 50 милиона изтегляния на седмица.Не знам. Тази вратичка има широкообхватни последици:

  • Преден: Използвайте Axios Vue, React, Angular приложение
  • Backend Node.jsПриложение за край на услугата с помощта на Axios
  • Архитектура на MicroserviceДруг организатор
  • Приложения към предприятията: Голям брой корпоративни системи разчитат на Axios

Как?

1. Разглеждане на зависими версии

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Използване на инструменти за сканиране на сигурността

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Съвет за безопасност

  • Обновяване сега: Всички проекти с използване на аксиос < = 1.13.4 се модернизират незабавно до 1.13.5
  • Надеждност при одита: проверява всички зависимости от проекта, за да се гарантира, че старите версии не се въвеждат косвено
  • Входящо удостоверяване: Строго валидиране на потребителския вход, за да се избегне директно влизане в конфигурационния обект
  • Тревога.: засилено наблюдение на сървърите и своевременно откриване на необичайни разбивки
  • Изпитване за сигурностРедовни тестове за сигурност за откриване на потенциални пропуски

Резюме

CVE-2026-25639 е една от библиотеката на Аксиос.Липса на пропуски в услугите с висок рискИ нападателите могат да накарат сървъра Node.js да се срине за миг чрез просто злонамерени обекти JSON. Тази вратичка има широкообхватно въздействие и е силно вредена.

Като разработчици трябва да сме бдителни.• Навременно актуализиране на зависимостта, валидиране на потребителския вход, засилено тестване за сигурност. Безопасността, привидно проста конфигурация комбинирана функция, също може да бъде смъртоносна входна точка.

Ако все още използвате аксиос < = 1.13.4,Моля ъпгрейд незабавно до 1.13.5.Защитете вашите приложения и потребители!

Няма за какво да се притесняваш.