Axios, en velkendt front bank, blev forgiftet! CVE- 2026- 25639 High- risk smuthuller, der kunne forårsage sammenbrud af Node.js server

I februar 2026, JavaScript blev konfronteret med en stor sikkerhedskrise!Den velkendte HTTP klient bibliotek Axios blev fundet at have en høj risiko sikkerhedsgab CVE- 2026- 25639Dette smuthul giver fjernangribere mulighed for at udløse denial of services (DoS) angreb ved at sende en enkelt ondsindet anmodning, hvilket resulterer i det pludselige sammenbrud af Node.js server. Dette smuthul påvirker alle Axios versioner til 1.13.4 og CVSS ratings op til 7, 5 (høj risiko)Det ved jeg ikke. Tjek og opgradere straks, hvis du er front- end eller Node.js udvikler!

Oversigt over huller

Felter	Detaljer
CVE ID	CVE- 2026- 25639
Omfang	Høj risiko (CVSS 7.5)
Berørte pakker	axios (npm)
Berørt udgave	<= 1.13.4
Påvirkning	Deny- tjeneste (servernedbrud)
Angrebsvektor	Netværk (fjernbetjening)
Retter version	1.13.5

Det er en god idé.

smuthullet findes i Axios Funktion for MergeConfig, denne funktion konsoliderer forskellige konfigurationselementer. Når funktion behandling indeholder proto Når objektet er konfigureret som en nøgle, programmet går ned.

Angrebsstrøm

• Axios standard Kør gennem indstillingsegenskaber for at sammenflette dem
• Angriberen inkluderer __proto__ Malicious JSON Object
• Axios forsøgte at finde en fusionspolitik, men uventet fik Object.prototype
• Kode forsøger at kalde prototypen som en funktion
• Fordi Object.prototype Det er et objekt, ikke en funktion. Kast den. TypeError
• Program nedbrud øjeblikkeligt

Eksempel på angreb

Overfaldsmanden sendte blot nyttelasten for at nedbryde serveren:

{"__proto__": {"x": 1}}

Det er en simpel måde at angribe på.Lavt angreb kompleksitetBedømmelser, men meget skadelige.

Angrebsstedet.

Dette smuthul er specifikt for følgende anvendelser:

• AccepterBrugerkontrolinputAnvendelse (f.eks. JSON-organ)
• Anvendelse JSON.parse() Fortolkningsindgang
• Importér et fortolket objekt i Axios-konfigurationen (f. eks. axios.get(url, userConfig)Jeg er ikke sikker.

Anvendelsen af disse betingelser risikerer at blive angrebet.En ondsindet anmodning vil tillade hele tjenesten. LinjeDet påvirker alle brugere.

Sondring fra prototype forurening

Det, der kræver opmærksomhed, er dette smuthul.Forskellige fra den traditionelle prototype forurening smuthul.Det ved jeg ikke. I den traditionelle prototype forurening, angriberne påvirker andre objekter ved at ændre objektet prototype, og i dette smuthul,Ansøgningen styrtede ned, før egenskaberne blev forurenet.Det ved jeg ikke.

Denne kollaps mekanisme gør angrebet mere direkte og dødbringende -Uden en kompleks udnyttelseskæde er det slut.Det ved jeg ikke.

Rehabiliteringsprogram

Opgrader nu

Axios, officiel. Version 1.13.5 Andre arrangører __proto__ nøgle til forebyggelse af typefejl.

Brug npm til at opgradere:

npm update axios

Brug garn til at opgradere:

yarn upgrade axios

Tjek nuværende version:

npm list axios

Godkendelsesrettelser

Opgradering for at sikre, at aksios version af package.json er:

"axios": ">=1.13.5"

• Påvirkningens omfang

Axios er en af de mest populære HTTP klient banker i JavaScript økosystemer, og det er den mest populære HTTP klient bank i verden.Over 50 millioner downloads om ugen.Det ved jeg ikke. Dette smuthul har vidtrækkende konsekvenser:

• Forside: Brug Axios Vue, React, Angle ansøgning
• Node.js BackendService- end applikation ved hjælp af Axios
• Mikroservice arkitekturAndre arrangører
• ErhvervsapplikationerEt stort antal virksomhedssystemer er afhængige af Axios

Hvordan?

1. Undersøgelse af afhængige versioner

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Brug af sikkerhedsscanningsværktøjer

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Sikkerhedsråd

• Opgrader nu: Alle projekter med aksios < = 1.13.4 opgraderes straks til 1.13.5
• Kontrolafhængighed: Kontroller alle projektafhængigheder for at sikre, at gamle versioner ikke indføres indirekte
• Indgangsgodkendelse: Streng validering af brugerinput for at undgå direkte adgang til konfigurationsobjektet
• Sikkerhedsalarm.: forbedret serverovervågning og rettidig påvisning af unormale opdelinger
• SikkerhedstestRegelmæssige sikkerhedstest til påvisning af potentielle mangler

Oversigt

CVE- 2026- 25639 er et af Axios biblioteketHøjrisiko lammelsesangreb på tjenestehullerOg angriberne kan gøre Node.js server kollapse på et øjeblik ved blot ondsindede JSON objekter. Dette smuthul har en vidtrækkende indvirkning og er yderst skadeligt.

Som udviklere må vi være på vagt.• Rettidig opdatering af afhængigheden, validering af brugerinput, forbedret sikkerhedstest. Sikkerhed, en tilsyneladende enkel konfiguration kombineret funktion, kan også være en dødelig indgang.

Hvis du stadig bruger aksios < = 1. 13. 4,Opgradering straks til 1.13.5.Beskyt dine applikationer og brugere!

Det er ikke noget at bekymre sig om.