Filipino

← Bumalik sa listahan

Ang Axios, isang kilalang bangko sa harap, ay nilason! CVE-2026-25639 High-risk clip na maaaring maging sanhi ng pagkasira ng Node.js server

itadol5j

Noong Pebrero 2026, napaharap ang JavaScript sa isang malaking krisis sa seguridad!Ang maalam na client library Axios ng HTTP ay natagpuang may high-risk security gap na CVE-2026-25639Ang presipitasyong ito ay nagpapahintulot sa mga remote attacks na magbunsod ng pagtanggi ng mga serbisyo (DOS) at pag-atake sa pamamagitan ng pagpapadala ng isang may malisyang kahilingan, na nagdulot ng biglaang pagbagsak ng Node.js server. Apektado ng loophole na ito ang lahat ng bersiyon ng Axios sa 1.13.4 at rating ng CVS hanggang sa rating ng CVS 7.5 (mataas na panganib)Hindi ko alam. Suriin at i-upgrade agad kung ikaw ay front-end o Node.js developer!

Axios panseguridad na takip

Overview ng mga puwang

Mga LaranganMga Detalye
CVE IDCVE-2026-25639
KamahalanMalaking panganib (CVSS 7.5)
Mga apektadong paketemga axio (npm)
Apektadong bersiyon<= 1.13.4
EpektoDentiy service (crash ng server)
Attack vectorNetwork (remote)
Fix Version1.13.5

Magandang ideya ito.

Ang loophole ay umiiral sa Axios Gawain ng MergeConfig, ang tungkuling ito ay nagdudugtong sa iba't ibang bagay na pang-ayos. Kapag Nagpoproseso ng mga Kasuutan proto Kapag ang bagay ay inayos bilang isang susi, ang aplikasyon ay bumabagsak.

Pag - atake

  • Ang Axios Default ay Nagtatakbo sa Pamamagitan ng Pag - aayos ng Tamang Paraan Upang Punin ang mga ito
  • Kabilang sa sumasalakay __proto__ Masamang Pagtutol sa JON
  • Sinikap ni Axios na humanap ng isang patakaran ng pagsasanib, subalit di - inaasahan ay nagkaroon ng patakaran Object.prototype
  • Sinisikap ng Code na tawagin ang modelo bilang isang gawain
  • Sapagkat Object.prototype Isa itong bagay, hindi gawain. Ihagis ito. TypeError
  • Biglaang mga pagbagsak ng Aksiyon

Halimbawa ng pagsalakay

Ang sumasalakay ay nagpadala lamang ng sahod upang sirain ang server:

{"__proto__": {"x": 1}}

Isa itong payak na paraan ng pag-atake.Masalimuot ang mababang pagsalakayMga daga, subalit lubhang nakapipinsala.

Ang eksena ng pagsalakay.

Ang butas na ito ay espesipiko sa sumusunod na mga gamit:

  • TanggapinUser control inputPagkakapit (hal. JSON body)
  • Gamitin JSON.parse() Pagpaparti
  • Ilipat ang isang bagay na may pars sa Axios configuration (hal. g. axios.get(url, userConfig)Hindi ko alam.

Ang pagkakapit ng mga kalagayang ito ay nanganganib na salakayin.Ang may masamang hangaring kahilingan ay magpapahintulot sa buong paglilingkod. LinyaApektado nito ang lahat ng gumagamit.

Pagkakaiba ng henetikong polusyon

Ang kailangang bigyang - pansin ay ang butas na ito.Naiiba sa tradisyunal na prepektura ng polusyon.Hindi ko alam. Sa tradisyonal na panggagaya, iniimpluwensiyahan ng mga sumasalakay ang iba pang bagay sa pamamagitan ng pagbabago sa modelo ng bagay, at sa loophong ito,Ang aplikasyon ay bumagsak bago ang mga ari - arian ay nadumhan.Hindi ko alam.

Ang mekanismong ito ng pagbagsak ay gumagawa sa pagsalakay na mas tuwiran at nakamamatay —Kung walang masalimuot na kawing sa paggamit, ito'y tapos na.Hindi ko alam.

Rehabilitasyon ng programa

Umaangat Na Ngayon

Axios, opisyal. Bersiyong 1.1.5 Iba Pang Organiser __proto__ key upang maiwasan ang mga pagkakamali sa uri.

Gamitin ang npm upang mag-upgrade:

npm update axios

Gumamit ng sinulid sa pag-upgrade:

yarn upgrade axios

Tingnan ang kasalukuyang bersyon:

npm list axios

Nagtakda ng Katotohanan

Upgrade upang matiyak na ang axios na bersyon ng pakete.json ay:

"axios": ">=1.13.5"

• Bagsak ng epekto

Ang Axios ay isa sa pinakapopular na bangko ng kliyente ng HTTP sa mga ekosistema ng JavaScript, at ito ang pinakapopular na bangko ng kliyente ng HTTP sa buong mundo.Mahigit na 50 milyong download sa bawat linggo.Hindi ko alam. Ang loophong ito ay may malawak na mga implikasyon:

  • Harap: Gumamit ng Axios Vue, Tugtugin, Kondisyonal na aplikasyon
  • Node.js BackendSerbisyo-end application gamit ang Axios
  • arkitektura ng mga MicroserviceIba Pang Organiser
  • Mga aplikasyon sa pagpasok: Maraming sistema ng negosyo ang umaasa sa Axios

Paano?

1.

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Gumamit ng mga kagamitan sa pagsusuri ng seguridad

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Payong pangkaligtasan

  • Umaangat Na Ngayon: Ang lahat ng proyekto na gumagamit ng axios < = 1.13.4 ay agad na iniupgrade sa 1.3.5.5
  • Umaasa: suriin ang lahat ng dependensiya ng proyekto upang matiyak na ang lumang mga bersiyon ay hindi di - tuwirang ipinakilala
  • Ilagay ang Pagiging Totoo: Mahigpit na pagpapatunay ng gumagamit ng input upang maiwasan ang tuwirang pagpasok sa bagay na configuration
  • Alisto ang seguridad.: Pinahusay na pagsubaybay at napapanahong pagdetek sa di - normal na pagkasira
  • Pagsubok sa seguridadRegular na pagsusuri sa seguridad upang makita ang posibleng mga agwat

Sumaryo

Ang CVE-2026-25639 ay isa sa aklatan ng AxiosMataas na-isk na pagkakait ng mga puwang sa serbisyoAt ang mga sumasalakay ay maaaring biglang bumagsak ang Node.js server sa pamamagitan lamang ng masamang mga bagay na JSON. Ang loophole na ito ay may malawak na epekto at lubhang nakapipinsala.

Bilang mga tagapaglinang, dapat tayong manatiling mapagbantay.• Ang napapanahong pagbabago ng pagkasugapa, pagbibigay - bisa sa impormasyon sa gumagamit, ay nakaragdag sa pagsusuri sa seguridad. Ang kaligtasan, na waring simpleng pinagsama - samang gawain, ay maaari ring maging isang nakamamatay na pasukan.

Kung gumagamit ka pa rin ng axios < = 1.13.4,Paki-upgrade kaagad sa 1.1.5.Ingatan ang inyong mga aplikasyon at mga gumagamit!

Hindi ito dapat ikabahala.