Axios, eine bekannte Vorderbank, wurde vergiftet! CVE-2026-25639 Hochriskante Schlupflöcher, die den Ausfall des Node.js-Servers verursachen könnten

Im Februar 2026 wurde JavaScript mit einer großen Sicherheitskrise konfrontiert!Die bekannte HTTP-Clientbibliothek Axios hatte eine Sicherheitslücke mit hohem Risiko CVE-2026-25639Diese Lücke ermöglicht es entfernten Angreifern, den Denial-of-Services-Angriff (DoS) auszulösen, indem sie eine einzige bösartige Anfrage senden, was zum plötzlichen Zusammenbruch des Node.js-Servers führt. Diese Lücke betrifft alle Axios Versionen bis 1.13.4 und CVSS Bewertungen bis zu 7.5 (hohes Risiko)Ich weiß es nicht. Überprüfen und aktualisieren Sie sofort, wenn Sie Front-End- oder Node.js-Entwickler sind!

Übersicht über Lücken

Felder	Einzelheiten
CVE-ID	CVE-2026-25639
Umfang	Hohes Risiko (CVSS 7.5)
Betroffene Verpackungen	Axios (npm)
Betroffene Version	<= 1.13.4
Auswirkungen	Deny Service (Serverabsturz)
Angriffsvektor	Netz (ferngesteuert)
Fixe Version	1.13.5

Es ist eine gute Idee.

Das Schlupfloch existiert in Axios MergeConfig FunktionDiese Funktion konsolidiert verschiedene Konfigurationsobjekte. Wenn Funktionsverarbeitung enthält Proto Wenn das Objekt als Schlüssel konfiguriert ist, stürzt die Anwendung ab.

Angriffsstrom

• Axios Default Run Through Configuration Properties zum Zusammenführen
• Der Angreifer beinhaltet __proto__ Böswilliges JSON-Objekt
• Axios versuchte, eine Fusionspolitik zu finden, bekam aber unerwartet Object.prototype
• Code versucht den Prototyp als Funktion aufzurufen
• Weil Object.prototype Es ist ein Objekt, keine Funktion. Wirf es. TypeError
• Anwendung stürzt sofort ab

Beispiel eines Angriffs

Der Angreifer schickte einfach die Nutzlast, um den Server aufzubrechen:

{"__proto__": {"x": 1}}

Es ist eine einfache Art anzugreifen.Geringe AngriffskomplexitätBewertungen, aber sehr schädlich.

Die Angriffsszene.

Diese Lücke ist spezifisch für die folgenden Anwendungen:

• AkzeptierenEingabe der BenutzersteuerungAnwendung (z. B. JSON-Gremium)
• Verwendung JSON.parse() Analyseinput
• Importieren eines analysierten Objekts in die Axios-Konfiguration (z.B.) axios.get(url, userConfig)Ich bin mir nicht sicher.

Die Anwendung dieser Bedingungen läuft Gefahr, angegriffen zu werden.Eine böswillige Anfrage ermöglicht den gesamten Dienst. LinieEs betrifft alle Benutzer.

Unterscheidung von der Verschmutzung durch Prototypen

Was Aufmerksamkeit braucht, ist diese Lücke.Anders als die traditionelle prototypische Verschmutzungslücke.Ich weiß es nicht. In der traditionellen Prototyp-Kontamination beeinflussen die Angreifer andere Objekte, indem sie den Objekt-Prototyp modifizieren, und in dieser Lücke,Die Anwendung stürzte ab, bevor die Eigenschaften kontaminiert waren.Ich weiß es nicht.

Dieser Zusammenbruchsmechanismus macht den Angriff direkter und tödlicher -Ohne eine komplexe Nutzungskette ist es vorbei.Ich weiß es nicht.

Rehabilitationsprogramm

Upgrade jetzt

Axios, offiziell. Version 1.13.5 Sonstige Veranstalter __proto__ Schlüssel, um Typfehler zu verhindern.

Verwenden Sie npm zum Upgrade:

npm update axios

Verwenden Sie Garn zum Upgrade:

yarn upgrade axios

Überprüfen Sie die aktuelle Version:

npm list axios

Authentifizierungsfixes

Aktualisieren Sie, um sicherzustellen, dass die axios-Version von package.json:

"axios": ">=1.13.5"

• Umfang der Auswirkungen

Axios ist eine der beliebtesten HTTP-Clientbanken in JavaScript-Ökosystemen und die beliebteste HTTP-Clientbank der Welt.Über 50 Millionen Downloads pro Woche.Ich weiß es nicht. Diese Lücke hat weitreichende Auswirkungen:

• Vorderteil: Verwenden Sie Axios Vue, React, Angular Application
• Node.js BackendServiceend-Anwendung mit Axios
• Microservice-ArchitekturSonstige Veranstalter
• Unternehmensanwendungen: Eine große Anzahl von Unternehmenssystemen setzt auf Axios

Wie?

1. Prüfung abhängiger Fassungen

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Einsatz von Sicherheits-Scannern

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Sicherheitshinweise

• Upgrade jetzt: Alle Projekte mit axios < = 1.13.4 werden sofort auf 1.13.5 aktualisiert
• PrüfungssicherheitÜberprüfen Sie alle Projektabhängigkeiten, um sicherzustellen, dass alte Versionen nicht indirekt eingeführt werden
• Eingabe-AuthentifizierungStrenge Validierung der Benutzereingabe, um einen direkten Zugriff auf das Konfigurationsobjekt zu vermeiden
• Sicherheitsalarm.Verbesserte Serverüberwachung und rechtzeitige Erkennung von abnormalen Pannen
• SicherheitstestRegelmäßige Sicherheitstests zur Erkennung möglicher Lücken

Zusammenfassung

CVE-2026-25639 ist eine der Axios BibliothekHochriskante Denial-of-Service-LückenUnd die Angreifer können den Node.js-Server in einem Augenblick durch böswillige JSON-Objekte zusammenbrechen lassen. Diese Lücke hat weitreichende Auswirkungen und ist sehr schädlich.

Als Entwickler müssen wir wachsam bleiben.• Rechtzeitige Aktualisierung der Abhängigkeit, Validierung der Benutzereingaben, verbesserte Sicherheitstests. Sicherheit, eine scheinbar einfache kombinierte Konfigurationsfunktion, kann auch ein tödlicher Einstiegspunkt sein.

Wenn Sie immer noch Axios < = 1,13,4 verwenden,Bitte aktualisieren Sie sofort auf 1.13.5.Schützen Sie Ihre Anwendungen und Benutzer!

Es gibt keinen Grund zur Sorge.