Axios, une banque avant bien connue, a été empoisonnée ! CVE-2026-25639 Lacunes à haut risque pouvant causer la panne du serveur Node.js

En février 2026, JavaScript a été confronté à une grave crise de sécurité !La bibliothèque cliente HTTP bien connue Axios a été trouvé pour avoir un écart de sécurité à haut risque CVE-2026-25639Cette faille permet aux attaquants distants de déclencher l'attaque de déni de services (DoS) en envoyant une seule requête malveillante, ce qui entraîne l'effondrement soudain du serveur Node.js. Cette faille affecte toutes les versions d'Axios à 1.13.4 et les cotes CVSS jusqu'à 7,5 (risque élevé)Je ne sais pas. Vérifiez et mettez à jour immédiatement si vous êtes le développeur front-end ou Node.js !

Aperçu des lacunes

Champs	Détails
Numéro CVE	CVE-2026-25639
Portée	Risque élevé (CVSS 7.5)
Emballages touchés	Axios (npm)
Version affectée	<= 1.13.4
Impact	Service de refus (crash du serveur)
Vecteur d'attaque	Réseau (à distance)
Correction de la version	1.13.5

C'est une bonne idée.

La faille existe dans Axios Fonction FusionConfig, cette fonction consolide différents objets de configuration. Lorsque le traitement de fonction contient proto Lorsque l'objet est configuré comme une clé, l'application s'écrase.

Flux d'attaque

• Axios Exécuter par défaut les propriétés de configuration pour les fusionner
• L'attaquant inclut __proto__ Objet malveillant JSON
• Axios a essayé de trouver une politique de fusion, Object.prototype
• Code essaie d'appeler le prototype comme une fonction
• Parce que Object.prototype C'est un objet, pas une fonction. Lance-le. TypeError
• L'application s'écrase instantanément

Exemple d'attaque

L'attaquant a simplement envoyé la charge utile pour décomposer le serveur:

{"__proto__": {"x": 1}}

C'est une façon simple d'attaquer.Faible complexité des attaquesLes notes, mais très nuisibles.

La scène de l'attaque.

Cette faille est spécifique aux applications suivantes:

• AccepterEntrée de contrôle de l'utilisateurDemande (par exemple, organisme JSON)
• Utilisation JSON.parse() Entrée d'analyse
• Importer un objet analysé dans la configuration Axios (par ex. axios.get(url, userConfig)Je ne suis pas sûr.

L'application de ces conditions risque d'être attaquée.Une demande malveillante permettra l'ensemble du service. LigneIl affecte tous les utilisateurs.

Distinction avec les prototypes de pollution

Ce qui a besoin d'attention, c'est cette faille.Différent de l'échappatoire traditionnelle du prototype de pollution.Je ne sais pas. Dans la contamination traditionnelle du prototype, les attaquants influencent d'autres objets en modifiant le prototype de l'objet, et dans cette faille,L'application s'est écrasée avant que les propriétés soient contaminées.Je ne sais pas.

Ce mécanisme d'effondrement rend l'attaque plus directe et plus mortelle.Sans chaîne d'utilisation complexe, c'est fini.Je ne sais pas.

Programme de réadaptation

Mettre à jour maintenant

Axios, officiel. Version 1.13.5 Autres organisateurs __proto__ clé pour prévenir les erreurs de type.

Utilisez npm pour mettre à niveau :

npm update axios

Utilisez le fil pour améliorer :

yarn upgrade axios

Vérifiez la version actuelle :

npm list axios

Corrections d'authentification

Mise à niveau pour s'assurer que la version axios du package.json est :

"axios": ">=1.13.5"

• Portée de l'impact

Axios est l'une des banques clientes HTTP les plus populaires dans les écosystèmes JavaScript, et c'est la banque cliente HTTP la plus populaire au monde.Plus de 50 millions de téléchargements par semaine.Je ne sais pas. Cette échappatoire a de nombreuses implications :

• Frontière: Utiliser Axios Vue, Réaction, Application Angulaire
• Node.js BackendApplication de fin de service utilisant Axios
• Architecture microserviceAutres organisateurs
• Applications d'entreprise: Un grand nombre de systèmes d'entreprise dépendent d'Axios

Comment ça ?

1. Examen des versions dépendantes

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Utilisation des outils de balayage de sécurité

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Conseils de sécurité

• Mettre à jour maintenant: Tous les projets utilisant axios < = 1.13.4 sont immédiatement mis à niveau à 1.13.5
• Appréciation de l ' audit: vérifier toutes les dépendances du projet pour s'assurer que les anciennes versions ne sont pas introduites indirectement
• Authentification des entrées: Validation stricte de l'entrée de l'utilisateur pour éviter une entrée directe dans l'objet de configuration
• Alerte de sécurité.: surveillance améliorée des serveurs et détection rapide des pannes anormales
• Essai de sécuritéEssais de sécurité réguliers pour détecter les lacunes potentielles

Résumé

CVE-2026-25639 est l'une des bibliothèques AxiosRefus de service à risque élevéEt les attaquants peuvent faire tomber le serveur Node.js en un instant par des objets JSON tout simplement malveillants. Cette échappatoire a un grand impact et est très néfaste.

En tant que développeurs, nous devons rester vigilants.• Mise à jour en temps voulu de la dépendance, validation de l'entrée de l'utilisateur, tests de sécurité améliorés. La sécurité, une fonction de configuration combinée apparemment simple, peut également être un point d'entrée létale.

Si vous utilisez toujours axios < = 1.13.4,Veuillez passer immédiatement à 1.13.5.Protégez vos applications et vos utilisateurs !

Il n'y a pas de quoi s'inquiéter.