Axios, známá přední banka, byl otráven! CVE- 2026- 25639 Vysoce rizikové mezery, které by mohly způsobit zhroucení serveru Node.js

V únoru 2026 byl JavaScript konfrontován s velkou bezpečnostní krizí!Velmi známá HTTP klientská knihovna Axios měla vysoce rizikovou bezpečnostní mezeru CVE- 2026- 25639Tato mezera umožňuje vzdáleným útočníkům spustit popření útoku služeb (DoS) vysláním jediného škodlivého požadavku, což vede k náhlému zhroucení serveru Node.js. Tato mezera ovlivňuje všechny verze Axios na 1.13.4 a CVSS hodnocení až do 7, 5 (vysoké riziko)Nevím. Zkontrolujte a upgrade okamžitě, pokud jste front- end nebo Node.js vývojář!

Přehled mezer

Pole	Podrobnosti
ID CVE	CVE- 2026- 25639
Rozsah	Vysoké riziko (CVSS 7.5)
Dotčená balení	axios (npm)
Dotčená verze	<= 1.13.4
Dopad	Zamítnutí služby (selhání serveru)
Útočný vektor	Síť (vzdálená)
Oprava verze	1.13.5

Je to dobrý nápad.

V Axiosu je skulina. Funkce MergeConfig, Tato funkce konsoliduje různé konfigurační objekty. Pokud zpracování funkcí obsahuje proto Když je objekt nakonfigurován jako klíč, aplikace zkratuje.

Útok

Výchozí Axios Proběhnout vlastnosti konfigurace sloučit
Útočník zahrnuje __proto__ Zlý JSON objekt
Axios se snažil najít politiku sloučení, ale nečekaně dostal Object.prototype
Kód se snaží zavolat prototyp jako funkci
Protože Object.prototype Je to objekt, ne funkce. Hoď to. TypeError
Implicitní selhání aplikace

Příklad útoku

Útočník jednoduše poslal užitečné zatížení, aby rozbil server:

{"__proto__": {"x": 1}}

Je to jednoduchý způsob útoku.Nízká složitost útokuRatings, ale velmi škodlivý.

Útočná scéna.

Tato mezera je specifická pro následující aplikace:

PřijmoutOvládací vstup uživateleAplikace (např. tělo JSON)
Použití JSON.parse() Parsing Input
Importovat do konfigurace Axios parsed objekt (např. axios.get(url, userConfig)Nejsem si jistý.

Použití těchto podmínek je ohroženo napadením.Zlovolný požadavek umožní celou službu. ČáraOvlivňuje všechny uživatele.

Rozdíl od znečištění prototypu

Co potřebuje pozornost, je tahle skulina.Jiné než tradiční prototyp znečištění mezery.Nevím. V tradiční prototypu kontaminace, útočníci ovlivňují jiné objekty změnou prototypu objektu, a v této mezery,Aplikace havarovala předtím, než byly vlastnosti kontaminovány.Nevím.

Tento kolapsový mechanismus dělá útok přímějším a smrtícím -Bez komplexního řetězce využití je konec.Nevím.

Rehabilitační program

Aktualizovat nyní

Axios, oficiální. Verze 1.13.5 Ostatní organizátor __proto__ klíč k prevenci chyb typu.

Použijte npm pro upgrade:

npm update axios

Použít přízi pro upgrade:

yarn upgrade axios

Zkontrolujte aktuální verzi:

npm list axios

Oprava ověření

Upgrade zajistit, aby axios verze package.json je:

"axios": ">=1.13.5"

• Rozsah dopadu

Axios je jednou z nejpopulárnějších HTTP klientských bank v JavaScript ekosystémech, a je to nejpopulárnější HTTP klientská banka na světě.Přes 50 milionů stažení týdně.Nevím. Tato mezera má široké důsledky:

Frontend: Použít Axios Vue, React, Úhlová aplikace
Node.js BackendAplikace Serviceend pomocí Axios
Mikroservisní architekturaOstatní organizátor
Žádosti o podnikání: Velký počet podnikových systémů závisí na Axiosu

Jak?

1. Zkoumání závislých verzí

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Použití bezpečnostních skenovacích nástrojů

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Bezpečnostní pokyny

Aktualizovat nyní: Všechny projekty používající axios < = 1.13.4 jsou okamžitě aktualizovány na 1.13.5
Spoléhání na audit: zkontrolovat všechny závislosti na projektu, aby se zajistilo, že staré verze nejsou nepřímo zavedeny
Autentizace vstupu: Striktní validace uživatelského vstupu, aby se zabránilo přímému vstupu do konfiguračního objektu
Bezpečnostní poplach.: rozšířený dohled serverů a včasná detekce abnormálních poruch
Bezpečnostní testPravidelné bezpečnostní testy ke zjištění možných nedostatků

Shrnutí

CVE- 2026- 25639 je jedním z knihovny AxiosVysoce rizikové popírání mezer v oblasti služebA útočníci mohou způsobit, že se server Node.js v okamžiku zhroutí jednoduše zlými JSON objekty. Tato mezera má široký dopad a je velmi škodlivá.

Jako vývojáři musíme zůstat ostražití.• Včasná aktualizace závislosti, validace vstupu uživatele, zesílené bezpečnostní testování. Bezpečnost, zdánlivě jednoduchá funkce kombinované konfigurace, může být také smrtelným vstupním bodem.

Pokud stále užíváte axios < = 1, 13.4,Aktualizujte prosím okamžitě na 1.13.5.Chraňte své aplikace a uživatele!

Není se čeho bát.