有名な前銀行のアクシオスが毒されました! CVE-2026-25639の特長 Node.jsサーバーの故障を引き起こす可能性がある高リスクループホール

2026年2月、JavaScriptは主要なセキュリティ危機に立ち向かった!よく知られているHTTPクライアントライブラリAxiosは、高リスクセキュリティギャップCVE-2026-25639を持っていることが判明しましたこのループホールは、リモート攻撃者が単一の悪意のあるリクエストを送信することで、サービス(DoS)攻撃の拒否をトリガーし、Node.jsサーバーの突然の崩壊を引き起こします。このループホールは、Axios のすべてのバージョンを 1.13.4 および CVSS の評価にまで影響します。 7.5(リスクが高い)お問い合わせフロントエンドやNode.js開発者であれば、すぐにチェックしてアップグレードしてください!

ギャップの概要

フィールド	インフォメーション
CVE IDの認証	CVE-2026-25639の特長
エクステント	高リスク(CVSS 7.5)
感染したパッケージ	アキシオス(npm)
欠陥のあるバージョン	<= 1.13.4
ソリューション	Denyサービス(サーバークラッシュ)
攻撃ベクトル	ネットワーク(リモート)
Fix バージョン	1.13.5

それは良い考えです。

Axiosに存在するループホール MergeConfig関数、この機能は異なった構成の目的を統合します。機能処理が含まれている場合 プロト オブジェクトがキーとして構成されると、アプリケーションがクラッシュします。

攻撃の流れ

Axios デフォルトは、設定プロパティを介して実行してそれらをマージします
攻撃者には、 __proto__ 悪意のあるJSONオブジェクト
Axiosは合併方針を見つけようとしましたが、予想外に取得しました Object.prototype
コードはプロトタイプを関数として呼ぶために試みます
なので Object.prototype 関数ではなくオブジェクトです。それを投げなさい。 TypeError
アプリケーションが瞬時にクラッシュする

攻撃事例

攻撃者は、単にサーバーを破壊するためにペイロードを送信しました。

{"__proto__": {"x": 1}}

攻撃するのは簡単な方法です。低い攻撃の複雑さ評価、しかし非常に有害。

攻撃シーン。

このループホールは、次のアプリケーションに固有のものです。

お問い合わせユーザー制御入力用途(例:JSONボディ)
使用条件 JSON.parse() パーシング入力
パースされたオブジェクトを Axios の設定 (例: g) にインポートします。 axios.get(url, userConfig)お問い合わせ

これらの条件の適用は攻撃される危険です。悪意のある方は、サービス全体が許可されます。ラインすべてのユーザーに影響を与えます。

試作公害による差別化

注意が必要なのはこのループホールです。従来のプロトタイプ汚染ループホールとは違います。お問い合わせ従来のプロトタイプ汚染では、攻撃者はオブジェクトのプロトタイプを変更し、このループホールで他のオブジェクトに影響を与えます。プロパティが汚染される前にアプリケーションがクラッシュしました。お問い合わせ

この崩壊機構により、攻撃をより直接的かつリシャル化します。複雑な利用チェーンがなければ、それだけではありません。お問い合わせ

リハビリテーションプログラム

今すぐアップグレード

アクシオス、公式。 バージョン1.13.5 その他の組織 __proto__ タイプの間違いを防ぐキー。

npmを使用してアップグレード:

npm update axios

糸を使用してアップグレード:

yarn upgrade axios

現在のバージョンを確認してください。

npm list axios

認証の修正

package.json の axios バージョンが次のものであることを確認するためにアップグレードします。

"axios": ">=1.13.5"

•影響の規模

Axiosは、JavaScript エコシステムで最も人気のある HTTP クライアント銀行の 1 つで、世界で最も人気のある HTTP クライアント銀行です。週に50万ダウンロード突破お問い合わせこのループホールは広範囲の含意を持っています:

フロントエンド: Axios Vue、React、Angularアプリケーションを使用する
Node.js バックエンドAxiosを使用したサービスエンドアプリケーション
マイクロサービスアーキテクチャその他の組織
エンタープライズアプリケーション: Axiosに頼る多数の企業システム

お問い合わせ

1. 扶養バージョンの審査

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2.セキュリティスキャンツールの利用

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

安全アドバイス

今すぐアップグレード: axios < = 1.13.4 を使用してすべてのプロジェクトはすぐに 1.13.5 にアップグレードされます。
監査の信頼性: 古いバージョンが間接的に導入されていないことを確認するために、プロジェクトのすべての依存性を確認してください
入力認証: 設定オブジェクトへの直接エントリを避けるために、ユーザーの入力の厳密な検証
セキュリティ警告。: サーバの監視を強化し、異常な故障のタイムリーな検出
セキュリティテスト潜在的なギャップを検出するための定期的なセキュリティテスト

インフォメーション

CVE-2026-25639はAxiosライブラリの1つですサービスのギャップの高いリスク拒否そして、攻撃者は、Node.jsサーバーを悪意のあるJSONオブジェクトによって即座に崩壊させることができます。このループホールは広範囲の衝撃があり、非常に有害です。

開発者として、誠意をこめていなければなりません。•依存性、ユーザーの入力の検証、強化されたセキュリティテストのタイムリーな更新。安全、一見簡単な構成の結合機能、また致命的な記入項目ポイントはある場合もあります。

axios < = 1.13.4 を使用している場合、すぐに1.13.5にアップグレードしてください。アプリケーションとユーザーを保護する

何も心配しないでください。