Axios, tunnettu etupankki, myrkytettiin! CVE-2026-25639 Korkean riskin porsaanreiät, jotka voivat aiheuttaa hajoamisen Node.js-palvelimen

Helmikuussa 2026 JavaScript kohtasi suuren turvallisuuskriisin!Tunnetulla HTTP-asiakaskirjastolla Axiosilla todettiin olevan suuri riski tietoturvavaje CVE-2026-25639Tämän porsaanreiän avulla etähyökkääjät voivat käynnistää palvelujen kieltämisen (DoS) lähettämällä yhden pahansuovan pyynnön, mikä johtaa Node.js-palvelimen äkilliseen romahtamiseen. Tämä porsaanreikä vaikuttaa kaikkiin Axios-versioihin 1.13,4 ja CVSS-luokituksiin asti 7, 5 (suuri riski)En tiedä. Tarkista ja päivitä välittömästi, jos olet etu-tai Node.js kehittäjä!

Katsaus puutteisiin

Kentät	Yksityiskohdat
CVE-tunniste	CVE-2026-25639
Laajuus	Suuri riski (CVSS 7.5)
Kosketetut paketit	aksios (pm)
Muutos	<= 1.13.4
Vaikutus	Kiellä palvelu (palvelin kaatuu)
Hyökkäysvektori	Verkko (etä)
Korjaa versio	1.13.5

Hyvä ajatus.

porsaanreikä on Axiosissa YhdistäConfig-toiminto, Tämä toiminto konsolidoi eri kokoonpano objektit. Kun toimintokäsittely sisältää proto Kun kohde on määritetty avaimeksi, sovellus kaatuu.

Hyökkäysvirta

Axios Oletus Suorita asetusten avulla yhdistääksesi ne
Hyökkääjä sisältää __proto__ Häijy JSONin objekti
Axios yritti löytää yhdistämispolitiikan, mutta yllättäen sai Object.prototype
Koodi yrittää kutsua prototyyppiä toiminnoksi
Koska Object.prototype Se on esine, ei toiminto. Heitä se. TypeError
Sovellus kaatuu välittömästi

Esimerkki hyökkäyksestä

Hyökkääjä lähetti lastin hajottamaan palvelimen:

{"__proto__": {"x": 1}}

Se on helppo tapa hyökätä.Vähäinen hyökkäyskompleksisuusArvosteluja, mutta hyvin haitallisia.

Hyökkäyskohtaus.

Tämä porsaanreikä koskee erityisesti seuraavia sovelluksia:

HyväksyKäyttäjän ohjaussyöteSovellus (esim.
Käyttö JSON.parse() Jäsennyssyöte
Tuo jäsennelty objekti Axios- kokoonpanoon (esim. axios.get(url, userConfig)En ole varma.

Näiden ehtojen soveltaminen on vaarassa joutua hyökkäyksen kohteeksi.Ilkeä pyyntö mahdollistaa koko palvelun. RiviSe vaikuttaa kaikkiin käyttäjiin.

Ero prototyyppisaasteesta

Tämä porsaanreikä kaipaa huomiota.Erilainen kuin perinteinen prototyyppi saastumista porsaanreikä.En tiedä. Perinteisessä prototyyppikontaminaatiossa hyökkääjät vaikuttavat muihin kohteisiin muokkaamalla objektin prototyyppiä.Sovellus kaatui ennen kuin kiinteistöt saastuivat.En tiedä.

Tämä romahdusmekanismi tekee hyökkäyksestä suoremman ja tappavammanIlman monimutkaista käyttöketjua se on ohi.En tiedä.

Kuntoutusohjelma

Päivitä nyt

Axios, virallinen. Versio 1.13.5 Muu järjestäjä __proto__ avain estää tyyppivirheet.

Käytä npm päivitykseen:

npm update axios

Käytä lankaa päivitykseen:

yarn upgrade axios

Tarkista nykyinen versio:

npm list axios

Todentamiskorjaukset

Päivitä varmistaa, että axios versio paketti.json on:

"axios": ">=1.13.5"

• Vaikutusten laajuus

Axios on yksi suosituimmista HTTP-asiakaspankeista JavaScript-ekosysteemeissä, ja se on maailman suosituin HTTP-asiakaspankki.Yli 50 miljoonaa latausta viikossa.En tiedä. Tällä porsaanreiällä on laajat vaikutukset:

Etusivu: Käytä Axios Vue, React, kulmasovellus
Node.js- taustaosaPalvelunloppusovellus Axiosin avulla
MikropalveluarkkitehtuuriMuu järjestäjä
Yrityssovellukset: Monet yritysjärjestelmät ovat riippuvaisia Axiosista

Miten?

1. Riippuvien versioiden tutkiminen

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Turvaskannerityökalujen käyttö

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Turvallisuusneuvonta

Päivitä nyt: Kaikki hankkeet, joissa käytetään aksios < = 1.13.4 on välittömästi päivitetty 1.13.5
Tarkastus: Tarkista kaikki projektiriippuvuudet sen varmistamiseksi, että vanhoja versioita ei oteta epäsuorasti käyttöön
Syöttötunnistus: Käyttäjän syötön tiukka validointi, jotta vältetään suora pääsy konfiguraatio-objektiin
Turvahälytys.: tehostettu palvelinvalvonta ja epänormaalien erittelyjen havaitseminen ajoissa
TurvatestiSäännölliset turvallisuustestit mahdollisten puutteiden havaitsemiseksi

Yhteenveto

CVE-2026-25639 on yksi Axios-kirjastostaPalvelupuutteiden suuri riskiJa hyökkääjät voivat saada Node.js-palvelimen romahtamaan hetkessä yksinkertaisesti pahansuovat JSON-esineet. Tällä porsaanreiällä on laaja vaikutus ja se on erittäin haitallinen.

Kehittäjinä meidän on pysyttävä valppaina.• Riippuvuuden ajan tasalle saattaminen ajoissa, käyttäjäpanoksen validointi, tehostettu turvallisuustestaus. Turvallisuus, näennäisesti yksinkertainen kokoonpanon yhdistetty toiminto, voi myös olla tappava sisääntulopiste.

Jos käytät yhä aksios < = 1.13.4,Päivittäkää välittömästi kohtaan 1.13.5.Suojaa sovelluksia ja käyttäjiä!

Ei syytä huoleen.