Axios, 잘 알려진 프론트 은행, 중독되었습니다! 모델 번호: CVE-2026-25639 Node.js 서버의 고장을 일으킬 수 있는 High-risk 루프홀

2 월 2026에서 JavaScript는 주요 보안 위기에 직면했습니다!잘 알려진 HTTP 클라이언트 라이브러리 Axios는 높은 리스크 보안 간격 CVE-2026-25639를 가지고 있음을 발견했습니다.이 루프홀은 원격 공격자는 Node.js 서버의 갑작스런 붕괴로 인해 단일 악의적 인 요청을 전송하여 서비스 (DoS) 공격을 트리거 할 수 있습니다. 이 루프홀은 모든 Axios 버전에 1.13.4 및 CVSS 등급에 영향을 줍니다. 7.5 (고 위험)나는 모른다. 프론트 엔드 또는 Node.js 개발자라면 즉시 확인하고 업그레이드하십시오!

격차 개요

제품정보	이름 *
비밀번호	모델 번호: CVE-2026-25639
뚱 베어	높은 위험 (CVSS 7.5)
관련 상품	axios (오후)
수정 된 버전	<= 1.13.4
제품정보	Deny 서비스 (서버 충돌)
공격 벡터	네트워크 (remote)
수정 버전	1.13.5

좋은 아이디어입니다.

루프홀은 Axios에서 존재합니다. MergeConfig 기능, 이 기능은 다른 윤곽 목표를 통합합니다. 기능 처리 Contains 때 주요 특징 객체가 키로 구성되면 애플리케이션 충돌.

공격 흐름

구성 속성을 통해 Axios 기본 실행
공격자는 포함 __proto__ Malicious JSON 개체
Axios는 합병 정책을 발견하려고했지만 예기치 않게 Object.prototype
Code tries to call the 프로토 타입으로 기능
이름 * Object.prototype 그것은 객체, 함수가 아닙니다. 한국어 TypeError
신청은 즉시 충돌합니다

공격의 예

공격자는 단순히 서버를 깰 payload를 보냈습니다 :

{"__proto__": {"x": 1}}

그것은 공격하는 간단한 방법입니다.낮은 공격 복잡성평가, 하지만 매우 유해.

공격 장면.

이 반복기는 뒤에 오는 신청에 특성입니다:

이름 *사용자 제어 입력애플리케이션 (예: JSON body)
제품 정보 JSON.parse() 연락처
Axios 구성에 파체를 가져 오기 (예 : g. axios.get(url, userConfig)나는 확실하지 않습니다.

이 약관의 적용은 공격의 위험에 있습니다.악의적 인 요청은 전체 서비스를 허용한다. 제품정보그것은 모든 사용자에게 영향을줍니다.

시제품 오염의 분산

어떤 관심은이 루프홀입니다.전통적인 시제품 오염 루프홀에서 다른.나는 모른다. 전통적인 프로토 타입 오염에서 공격자는 객체 프로토 타입을 수정하여 다른 객체에 영향을 미칩니다.속성 이전에 충돌 한 응용 프로그램은 오염되었다.나는 모른다.

이 붕괴 메커니즘은 더 직접 공격을하고 흡입합니다.복잡한 이용 체인 없이, 그것은 위에 있습니다.나는 모른다.

재활 프로그램

지금 업그레이드

Axios, 공식. 버전 1.13.5 다른 Organiser __proto__ 유형 오류를 방지하는 열쇠.

npm을 사용하여 업그레이드:

npm update axios

향상에 털실을 사용하십시오:

yarn upgrade axios

현재 버전 확인:

npm list axios

인증 수정

package.json의 axios 버전이 무엇인지 확인하기 위해 업그레이드:

"axios": ">=1.13.5"

• 충격의 범위

Axios는 JavaScript 생태계에서 가장 인기있는 HTTP 클라이언트 은행 중 하나이며 세계에서 가장 인기있는 HTTP 클라이언트 은행입니다.주 당 50 백만 다운로드 이상.나는 모른다. 이 루프홀에는 넓은 배열이 있습니다.

회사연혁: Axios Vue, React, Angular 애플리케이션 사용
Node.js 백업Axios를 이용한 서비스 종료
Microservice 건축다른 Organiser
Enterprise 응용: Axios에 많은 엔터프라이즈 시스템

어떻게?

1. 의존하는 버전의 시험

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. 보안 스캐닝 도구 사용

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

안전 조언

지금 업그레이드: axios를 사용하는 모든 프로젝트 < = 1.13.4는 즉시 1.13.5로 업그레이드됩니다.
감사 종교: 이전 버전이 간접적으로 도입되지 않도록 모든 프로젝트 의존성을 확인합니다.
입력 인증: 사용자 입력의 엄격한 검증은 구성 객체에 직접 입력을 방지하기 위해
보안 경고.: 강화된 서버 감시 및 비정상적인 고장의 적시 탐지
보안 시험잠재적인 간격을 검출하는 일정한 안전 시험

제품정보

CVE-2026-25639는 Axios 도서관의 한개입니다서비스 격차의 높은risk그리고 공격자는 Node.js 서버가 즉시 악의적인 JSON 객체로 축소할 수 있습니다. 이 루프홀은 넓은 범위의 충격을 가지고 있으며 매우 유해합니다.

개발자로서, 우리는 vigilant 남아 있어야 합니다.• 신뢰성의 적시 updating, 사용자 입력의 검증, 향상된 보안 테스트. 안전은, 겉으로 간단한 윤곽 결합한 기능, 또한 흡입 입장 점일 수 있습니다.

여전히 axios를 사용한다면 < = 1.13.4,1.13.5로 즉시 업그레이드하십시오.당신의 응용 프로그램과 사용자를 보호!

걱정할 필요가 없습니다.