Axios, una nota banca anteriore, è stato avvelenato! CVE-2026-256 Le scappatoie ad alto rischio che potrebbero causare la ripartizione del server Node.js

Nel febbraio del 2026, JavaScript è stato confrontato con una grande crisi di sicurezza!La nota libreria client HTTP Axios è stata trovata per avere un gap di sicurezza ad alto rischio CVE-2026-25639Questa scappatoia consente agli aggressori remoti di attivare la negazione dell'attacco dei servizi (DoS) inviando una singola richiesta maligna, con conseguente crollo improvviso del server Node.js. Questa scappatoia colpisce tutte le versioni Axios a 1.13.4 e CVSS fino a 7,5 (alto rischio)Non lo so. Controllare e aggiornare immediatamente se si è front-end o Node.js sviluppatore!

Copertura di violazione di sicurezza Axios

Panoramica delle lacune

Campi	Dettagli
ID CVE	CVE-2026-256
Extent	Alto rischio (CVSS 7.5)
Pacchetti interessati	axios (npm)
Versione colpita	<= 1.13.4
Impatto	Servizio di deposito (incidente di riserva)
Attacco vettoriale	Rete (remoto)
Risolvere la versione	1.13.5

E' una buona idea.

La scappatoia esiste in Axios Funzione MergeConfig, questa funzione consolida diversi oggetti di configurazione. Quando l'elaborazione della funzione contiene Proto Quando l'oggetto è configurato come chiave, l'applicazione si blocca.

Flusso di attacco

Axios Default Eseguire attraverso le proprietà di configurazione per unirli
L'attaccante include __proto__ Oggetto JSON malizioso
Axios ha cercato di trovare una politica di fusione, ma inaspettatamente ottenuto Object.prototype
Code cerca di chiamare il prototipo come funzione
Perché? Object.prototype E' un oggetto, non una funzione. Gettala. TypeError
L'applicazione si blocca istantaneamente

Esempio di attacco

L'aggressore ha semplicemente inviato il payload per abbattere il server:

{"__proto__": {"x": 1}}

E' un modo semplice per attaccare.Bassa complessità di attaccoValutazioni, ma molto dannose.

La scena d'attacco.

Questa scappatoia è specifica per le seguenti applicazioni:

AccettareIngresso di controllo utenteApplicazione (ad esempio corpo JSON)
Uso JSON.parse() Input di Parsing
Importare un oggetto parso nella configurazione Axios (es. axios.get(url, userConfig)Non ne sono sicuro.

L'applicazione di queste condizioni rischia di essere attaccata.Una richiesta dannosa permetterà l'intero servizio. LineaColpisce tutti gli utenti.

Distinzione dell'inquinamento del prototipo

Ciò che ha bisogno di attenzione è questa scappatoia.Diverso dalla tradizionale scappatoia di inquinamento del prototipo.Non lo so. Nella tradizionale contaminazione del prototipo, gli attaccanti influenzano altri oggetti modificando il prototipo dell'oggetto, e in questa scappatoia,L'applicazione si è schiantata prima che le proprietà fossero contaminate.Non lo so.

Questo meccanismo di collasso rende l'attacco più diretto e letale —Senza una complessa catena di utilizzo, è finita.Non lo so.

Programma di riabilitazione

Aggiorna ora

Axios, ufficiale. Versione 1.13.5 Altri organi __proto__ chiave per prevenire errori di tipo.

Utilizzare npm per aggiornare:

npm update axios

Utilizzare il filato per aggiornare:

yarn upgrade axios

Controlla la versione corrente:

npm list axios

Correzioni di autenticazione

Aggiornamento per garantire che la versione assios del pacchetto.json è:

"axios": ">=1.13.5"

• Campo d'impatto

Axios è una delle banche client HTTP più popolari negli ecosistemi JavaScript, ed è la banca client HTTP più popolare al mondo.Oltre 50 milioni di download alla settimana.Non lo so. Questa scappatoia ha implicazioni di ampia portata:

Fronte: Utilizzare Axios Vue, Reagire, Applicazione angolare
Node.js BackendApplicazione Service-end con Axios
Architettura microserviceAltri organi
Applicazioni aziendali: Un gran numero di sistemi aziendali si basano su Axios

Come?

1. Esame delle versioni dipendenti

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Utilizzo di strumenti di scansione della sicurezza

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Consigli di sicurezza

Aggiorna ora: Tutti i progetti che utilizzano assios < = 1.13.4 sono immediatamente aggiornati a 1.13.5
Rivestimento dell'audit: controllare tutte le dipendenze del progetto per garantire che le vecchie versioni non siano introdotte indirettamente
Autenticazione dell'ingresso: Validazione rigorosa dell'ingresso dell'utente per evitare l'ingresso diretto nell'oggetto di configurazione
Allarme di sicurezza.: sorveglianza migliorata del server e rilevazione tempestiva dei guasti anormali
Test di sicurezzaTest di sicurezza regolari per rilevare potenziali lacune

Sintesi

CVE-2026-25639 è una delle biblioteche di AxiosRinnegamento ad alto rischio di lacune di servizioE gli aggressori possono far crollare il server Node.js in un istante da oggetti JSON semplicemente maligni. Questa scappatoia ha un impatto ampio ed è altamente dannoso.

Come sviluppatori, dobbiamo rimanere vigili.• Aggiornamento tempestivo della dipendenza, convalida dell'ingresso dell'utente, test di sicurezza potenziati. Sicurezza, una funzione combinata di configurazione apparentemente semplice, può anche essere un punto di ingresso letale.

Se stai ancora usando axios < = 1.13.4,Si prega di aggiornare immediatamente a 1.13.5.Proteggere le applicazioni e gli utenti!

Non c'e' niente di cui preoccuparsi.