हिन्दी

← सूची पर वापस जाएँ

Axios, एक प्रसिद्ध फ्रंट बैंक, जहरीला था! CVE-2026-25639 उच्च जोखिम वाले लूपहोल जो Node.js सर्वर के टूटने का कारण बन सकते हैं

itadol5j

फरवरी 2026 में, जावास्क्रिप्ट को एक प्रमुख सुरक्षा संकट से सामना करना पड़ा!अच्छी तरह से ज्ञात क्लाइंट लाइब्रेरी Axios को एक उच्च जोखिम सुरक्षा अंतर CVE-2026-25639 पाया गया था।यह लूपहोल दूरस्थ हमलावरों को एक दुर्भावनापूर्ण अनुरोध भेजकर सेवाओं (DoS) हमले के इनकार को ट्रिगर करने की अनुमति देता है जिसके परिणामस्वरूप Node.js सर्वर का अचानक पतन होता है। यह लूपहोल 1.13.4 और CVSS रेटिंग तक सभी Axios संस्करणों को प्रभावित करता है 7.5 (उच्च जोखिम)मुझे नहीं पता। अगर आप फ्रंट-एंड या नोड.जेएस डेवलपर हैं तो तुरंत जांचें और अपग्रेड करें!

Axios सुरक्षा उल्लंघन कवर

अंतराल का अवलोकन

फील्डविवरण
CVE IDCVE-2026-25639
विस्तारउच्च जोखिम (CVSS 7.5)
प्रभावित पैकेजaxios (npm)
प्रभावित संस्करण<= 1.13.4
प्रभावडेनी सेवा (सर्वर दुर्घटना)
हमला वेक्टरनेटवर्क (रिमोट)
संस्करण को ठीक करें1.13.5

यह एक अच्छा विचार है।

लूपहोल Axios में मौजूद है MergeConfig समारोहयह कार्य विभिन्न विन्यास वस्तुओं को समेकित करता है। जब फंक्शन प्रोसेसिंग होती है प्रोटो जब ऑब्जेक्ट को कुंजी के रूप में कॉन्फ़िगर किया जाता है, तो एप्लिकेशन दुर्घटनाग्रस्त हो जाता है।

हमला प्रवाह

  • Axios डिफ़ॉल्ट रन विन्यास गुणों के माध्यम से उन्हें मर्ज करने के लिए
  • हमलावर शामिल हैं __proto__ Malicious JSON ऑब्जेक्ट
  • Axios एक विलय नीति खोजने की कोशिश की, लेकिन अप्रत्याशित रूप से मिला Object.prototype
  • कोड एक फ़ंक्शन के रूप में प्रोटोटाइप को कॉल करने की कोशिश करता है
  • क्योंकि Object.prototype यह एक वस्तु है, कोई कार्य नहीं है। इसे फेंको। TypeError
  • आवेदन तुरंत दुर्घटनाग्रस्त

हमले का उदाहरण

हमलावर ने बस सर्वर को तोड़ने के लिए पेलोड भेजा:

{"__proto__": {"x": 1}}

यह हमला करने का एक सरल तरीका है।कम आक्रमण जटिलतारेटिंग, लेकिन बहुत हानिकारक है।

हमला दृश्य।

यह लूपहोल निम्नलिखित अनुप्रयोगों के लिए विशिष्ट है:

  • स्वीकार करनाउपयोगकर्ता नियंत्रण इनपुटआवेदन (जैसे JSON बॉडी)
  • उपयोग JSON.parse() पार्सिंग इनपुट
  • Axios विन्यास (e.g.) में एक parsed वस्तु आयात axios.get(url, userConfig)मुझे यकीन नहीं है।

इन शर्तों के आवेदन पर हमला होने का जोखिम होता है।एक दुर्भावनापूर्ण अनुरोध पूरी सेवा की अनुमति देगा। लाइनयह सभी उपयोगकर्ताओं को प्रभावित करता है।

प्रोटोटाइप प्रदूषण से विघटन

क्या ध्यान की जरूरत है यह पाशहोल।पारंपरिक प्रोटोटाइप प्रदूषण पाशहोल से अलग।मुझे नहीं पता। पारंपरिक प्रोटोटाइप संदूषण में, हमलावर ऑब्जेक्ट प्रोटोटाइप को संशोधित करके अन्य वस्तुओं को प्रभावित करते हैं, और इस लूपहोल में,आवेदन दुर्घटनाग्रस्त होने से पहले गुण दूषित हो गए थे।मुझे नहीं पता।

यह पतन तंत्र हमले को अधिक प्रत्यक्ष और घातक बनाता है -एक जटिल उपयोग श्रृंखला के बिना, यह खत्म हो गया है।मुझे नहीं पता।

पुनर्वास कार्यक्रम

अब अपग्रेड करें

Axios, आधिकारिक। संस्करण 1.13.5 अन्य आयोजक __proto__ टाइप त्रुटियों को रोकने की कुंजी।

उन्नयन के लिए npm का उपयोग करें:

npm update axios

अपग्रेड करने के लिए यार्न का उपयोग करें:

yarn upgrade axios

वर्तमान संस्करण की जाँच करें:

npm list axios

प्रमाणीकरण निर्धारण

यह सुनिश्चित करने के लिए अपग्रेड करें कि पैकेज का एक्सियोस संस्करण है:

"axios": ">=1.13.5"

• प्रभाव का दायरा

Axios जावास्क्रिप्ट पारिस्थितिक तंत्र में सबसे लोकप्रिय HTTP क्लाइंट बैंकों में से एक है, और यह दुनिया का सबसे लोकप्रिय HTTP क्लाइंट बैंक है।प्रति सप्ताह 50 मिलियन से अधिक डाउनलोड।मैं नहीं जानता हूँ। इस पाशहोल में व्यापक रेंजिंग प्रभाव होते हैं:

  • फ्रंटेंडAxios Vue, React, Angular application
  • Node.js BackendAxios का उपयोग करके सर्विस-एंड एप्लिकेशन
  • माइक्रोसर्विस आर्किटेक्चरअन्य आयोजक
  • एंटरप्राइज़ अनुप्रयोगबड़ी संख्या में उद्यम प्रणाली Axios पर निर्भर करती है

कैसे?

1. निर्भर संस्करणों की परीक्षा

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. सुरक्षा स्कैनिंग उपकरण का उपयोग

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

सुरक्षा सलाह

  • अब अपग्रेड करेंAxios का उपयोग करके सभी परियोजनाओं <= 1.13.4 को तुरंत 1.13.5 में अपग्रेड किया गया है।
  • लेखापरीक्षा निर्भरता: यह सुनिश्चित करने के लिए सभी परियोजना निर्भरताओं की जांच करें कि पुराने संस्करणों को अप्रत्यक्ष रूप से पेश नहीं किया गया है।
  • इनपुट प्रमाणीकरण: विन्यास वस्तु में सीधी प्रविष्टि से बचने के लिए उपयोगकर्ता इनपुट का सख्त सत्यापन
  • सुरक्षा अलर्ट: उन्नत सर्वर निगरानी और असामान्य ब्रेकडाउन का समय पर पता लगाना
  • सुरक्षा परीक्षणसंभावित अंतरालों का पता लगाने के लिए नियमित सुरक्षा परीक्षण

सारांश

CVE-2026-25639 Axios पुस्तकालय में से एक हैसेवा अंतराल के उच्च जोखिम इनकारऔर हमलावर केवल दुर्भावनापूर्ण JSON ऑब्जेक्ट्स द्वारा एक तत्काल में Node.js सर्वर को पतन कर सकते हैं। इस पाशहोल का व्यापक प्रभाव होता है और यह अत्यधिक हानिकारक होता है।

डेवलपर के रूप में, हमें सतर्क रहना चाहिए।• समय पर निर्भरता को अद्यतन करना, उपयोगकर्ता इनपुट का सत्यापन, सुरक्षा परीक्षण को बढ़ाया। सुरक्षा, एक प्रतीत होता है सरल विन्यास संयुक्त समारोह, भी एक घातक प्रवेश बिंदु हो सकता है।

यदि आप अभी भी axios का उपयोग कर रहे हैं < = 1.13.4,कृपया तुरंत 1.13.5 में अपग्रेड करें।अपने अनुप्रयोगों और उपयोगकर्ताओं को सुरक्षित रखें!

इसके बारे में चिंता करने की कोई बात नहीं है।