Indonesia

← Kembali ke daftar

Axios, yang dikenal baik depan bank, diracuni! CVE- 2026-25639 Celah resiko tertinggi yang bisa menyebabkan kerusakan server Node.js

itadol5j

Pada bulan Februari 2026, JavaScript dihadapkan dengan krisis keamanan besar!Perpustakaan klien HTTP yang dikenal juga Axios ditemukan memiliki kesenjangan keamanan berisiko tinggi CVE - 2026- 25639Lubang ini memungkinkan penyerang jarak jauh untuk memicu penolakan layanan (DoS) menyerang dengan mengirim satu permintaan berbahaya, mengakibatkan keruntuhan mendadak server Node.js. Jangkauan ini mempengaruhi semua versi Axios menjadi 1.13.4 dan peringkat CVSS hingga 7.5 (risiko tinggi)Aku tidak tahu. Periksa dan perbarui segera jika Anda berada di depan atau pengembang Node.js!

Penutup pelanggaran keamanan Axios

Ringkasan dari kesenjangan

RuasRincian
ID CVECVE- 2026-25639
ExtentRisiko tinggi (CVSS 7.5)
Paket yang Terpengaruhakxios (npm)
Versi yang terkena<= 1.13.4
DampakLayanan penyangkalan (server rusak)
Vector seranganJaringan (jauh)
Perbaiki Versi1.13.5

Itu ide yang bagus.

Lubang itu ada di Axios Fungsi MergeConfig, fungsi ini konsolidasi objek konfigurasi yang berbeda. Ketika Proses Fungsi Berisi proto Ketika obyek dikonfigurasi sebagai kunci, aplikasi crash.

Serangan mengalir

  • Properti Konfigurasi Jalankan Langsung Axios untuk Merge
  • Penyerang termasuk __proto__ Objek JSON yang mematikan
  • Axios mencoba untuk menemukan kebijakan penggabungan, tapi tak terduga mendapat Object.prototype
  • Kode mencoba untuk memanggil prototipe sebagai fungsi
  • Karena Object.prototype Itu benda, bukan fungsi. Lemparkan. TypeError
  • Aplikasi crash seketika

Contoh serangan

Penyerang hanya mengirim muatan untuk memecah server:

{"__proto__": {"x": 1}}

Ini adalah cara sederhana untuk menyerang.Kerumitan serangan rendahRating, tapi sangat berbahaya.

Adegan penyerangan.

Celah ini khusus untuk aplikasi berikut:

  • TerimaMasukan kontrol penggunaAplikasi (misalnya tubuh JSON)
  • Gunakan JSON.parse() Masukan Parsing
  • Impor suatu objek parsed ke dalam konfigurasi Axios (misalnya. g. axios.get(url, userConfig)Aku tidak yakin.

Aplikasi kondisi ini beresiko diserang.Permintaan berbahaya akan memungkinkan seluruh layanan. BarisIni mempengaruhi semua pengguna.

Pengalihan dari pencemaran prototipe

Yang perlu diperhatikan adalah celah ini.Berbeda dari prototipe tradisional celah polusi.Aku tidak tahu. Dalam kontaminasi prototipe tradisional, penyerang mempengaruhi objek lain dengan memodifikasi prototipe objek, dan dalam celah ini,Aplikasi rusak sebelum properti terkontaminasi.Aku tidak tahu.

Mekanisme keruntuhan ini membuat serangan lebih langsung dan mematikan -Tanpa rantai pemanfaatan yang rumit, semuanya berakhir.Aku tidak tahu.

Program rehabilitasi

Tingkatkan Sekarang

Axios, resmi. Versi 1.13,5 Organiser lainnya __proto__ kunci untuk mencegah kesalahan tipe.

Gunakan npm untuk upgrade:

npm update axios

Gunakan yarn untuk upgrade:

yarn upgrade axios

Periksa versi sekarang:

npm list axios

Perbaikan otentikasi

Upgrade untuk memastikan bahwa versi aksios dari package.json adalah:

"axios": ">=1.13.5"

Scope Dampak

Axios adalah salah satu bank klien paling populer HTTP di ekosistem JavaScript, dan itu adalah bank klien paling populer HTTP di dunia.Lebih dari 50 juta unduhan per minggu.Aku tidak tahu. Lubang ini memiliki dampak besar:

  • Frontend: Gunakan aplikasi Axios Vue, React, Angular
  • Latar Belakang Node.jsAplikasi service-end memakai Axios
  • Arsitektur MicroserviceOrganiser lainnya
  • Aplikasi Enterprise: Sejumlah besar perusahaan sistem mengandalkan Axios

Bagaimana?

Pemeriksaan versi tergantung

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

Gunakan alat pemindai keamanan

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Saran keselamatan

  • Tingkatkan Sekarang: Semua proyek menggunakan aksios < = 1.13.4 segera ditingkatkan ke 1.13.5
  • Bantuan audit: periksa semua ketergantungan projek untuk memastikan bahwa versi lama tidak secara tidak langsung diperkenalkan
  • Otentikasi Masukan: Validasi strict dari masukan pengguna untuk menghindari masukan langsung ke objek konfigurasi
  • Peringatan keamanan.: peningkatan pengawasan server dan deteksi waktu yang tepat dari kerusakan normal
  • Tes keamananTes keamanan reguler untuk mendeteksi kesenjangan potensial

Ringkasan

CVE- 2026- 25639 adalah salah satu perpustakaan AxiosPenyangkalan resiko tinggi dari layanan yang kosongDan penyerang dapat membuat server Node.js runtuh dalam sekejap hanya dengan objek JSON berbahaya. Lubang ini memiliki dampak besar dan sangat berbahaya.

Sebagai pengembang, kita harus tetap waspada.Sementara itu memperbaharui ketergantungan, validasi dari masukan pengguna, pengujian keamanan meningkat. Keamanan, sebuah konfigurasi sederhana gabungan fungsi, juga dapat merupakan titik masuk mematikan.

Jika kau masih menggunakan aksios < = 1.13.4,Tolong perbarui segera ke 1.13,5.Lindungi aplikasi dan penggunamu!

Tak ada yang perlu dikhawatirkan.