Axios, bank depan terkenal, diracuni! KVE-2026-25639 Lubang celah berisiko tinggi yang dapat menyebabkan kerusakan server Node.js

Pada Februari 2026, JavaScript dihadapkan pada krisis keamanan besar!Perpustakaan klien HTTP terkenal Axios ditemukan memiliki celah keamanan berisiko tinggi CVE-2026-25639Lubang hampa ini memungkinkan penyerang jarak jauh untuk memicu penolakan layanan (DoS) serangan dengan mengirimkan permintaan jahat tunggal, mengakibatkan keruntuhan tiba-tiba dari server Node.js. Lubang celah ini mempengaruhi semua versi Axios menjadi 1.13.4 dan rating CVSS hingga 7,5 (risiko tinggi)Aku tidak tahu. Periksa dan upgrade segera jika Anda front-end atau Node.js pengembang!

Selayang pandang kesenjangan

Fields	Perincian
ID CVE	KVE-2026-25639
Eksten	Risiko tinggi (CVSS 7.5)
Paket-paket yang terpengaruh	axios (npm)
Versi dipengaruhi	<= 1.13.4
Impact	Layanan penyangkalan (kecelakaan server)
Vektor serangan virus	Jaringan (jauh)
Versi Fix Ubuntu	1.13.5

Ini ide yang bagus.

Lubang celah itu ada di Axios Fungsi Cantuman BaruFungsi ini menyatukan objek konfigurasi yang berbeda. Pustaka Bila Pengolahan Fungsi Berkaitan Proto Ketika objek dikonfigurasi sebagai kunci, aplikasi mengalami kecelakaan.

Aliran serangan

Lalai Axios Lari Melalui Properti Konfigurasi untuk Menggabungkannya
Penyerang termasuk __proto__ Objek JSON Kejam
Axios mencoba mencari kebijakan penggabungan, tapi tak disangka mendapat Object.prototype
Kode Keisah mencoba untuk memanggil prototipe sebagai fungsi
Karena Object.prototype Ini objek, bukan fungsi. Lemparkan. TypeError
Aplikasi Ogh crash seketika

Contoh serangan

Penyerang hanya mengirim muatan untuk memecah server:

{"__proto__": {"x": 1}}

Ini cara mudah untuk menyerang.Kerumitan serangan rendahPenambangan, tapi sangat berbahaya.

Tempat serangan.

Lubang celah ini khusus untuk aplikasi berikut:

TerimaInput kontrol penggunaAplikasi BAHASA (cth. tubuh JSON)
Guna JSON.parse() Masukan Parsing
Mengimpor objek terurai ke dalam konfigurasi Axios (misalnya. axios.get(url, userConfig)Aku tidak yakin.

Penerapan kondisi ini berisiko diserang.Permintaan jahat akan memungkinkan seluruh layanan. JalurIni mempengaruhi semua pengguna.

Disinsi dari polusi prototipe

Apa yang perlu diperhatikan adalah celah ini.Berbeda dari prototaip tradisional polusi celah.Aku tidak tahu. Dalam kontaminasi prototipe tradisional, penyerang mempengaruhi objek lain dengan memodifikasi prototipe objek, dan di celah ini,Aplikasi itu jatuh sebelum properti terkontaminasi.Aku tidak tahu.

Mekanisme keruntuhan ini membuat serangan ini lebih langsung dan mematikan —Tanpa rantai pemanfaatan yang kompleks, itu sudah berakhir.Aku tidak tahu.

Program Rehabilitasi Mukjizat

Sekarang tingkatkan

Axios, resmi. Versi Ubuntu 1.13.5 Penyusun: __proto__ Kunci untuk mencegah kesalahan jenis.

Use npm untuk upgrade:

npm update axios

Gunakan benang untuk menatar:

yarn upgrade axios

Periksa versi sekarang:

npm list axios

Pembetulan otentikasi Auster

upgrade untuk memastikan bahwa versi axios paket.json adalah:

"axios": ">=1.13.5"

Skop dampak

Axios adalah salah satu bank klien HTTP paling populer di ekosistem JavaScript, dan merupakan bank klien HTTP paling populer di dunia.Lebih dari 50 juta download per minggu.Aku tidak tahu. Lubang ini memiliki implikasi yang luas:

FrontendGunakan Axios Vue, React, aplikasi angular
Bagian Belakang Node.jsAplikasi Service-end menggunakan Axios
Arsitektur layanan mikroPenyusun:
Aplikasi perusahaanSejumlah besar sistem perusahaan mengandalkan Axios

Bagaimana?

1. Pemeriksaan versi bergantung

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Penggunaan alat pemindai keamanan

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Saran keselamatan

Sekarang tingkatkanSemua proyek menggunakan axios < = 1.13.4 langsung ditingkatkan menjadi 1.13.5
Reliance AuditPeriksa semua dependensi projek untuk memastikan versi lama tidak diperkenalkan secara tidak langsung
Pengesahihan Masukan SonyStrict validasi masukan pengguna untuk menghindari masukan langsung ke dalam objek konfigurasi
Peringatan keamanan.Peningkatan pengawasan server dan deteksi waktu kerusakan abnormal
Tes keamananUji keamanan reguler untuk mendeteksi potensi celah

Ringkasan

Axios LibraryPenolakan berisiko tinggi dari kesenjangan layananDan penyerang dapat membuat server Node.js runtuh dalam sekejap dengan hanya objek JSON jahat. Lubang celah ini memiliki dampak yang luas dan sangat berbahaya.

Sebagai pengembang, kita harus tetap waspada.• Pemutakhiran ketergantungan secara tepat waktu, validasi masukan pengguna, pengujian keamanan yang ditingkatkan. Keselamatan, fungsi gabungan konfigurasi yang tampaknya sederhana, juga dapat menjadi titik masuk yang mematikan.

Jika Anda masih menggunakan axios < = 1.13.4,Tolong segera upgrade ke 1,13,5.Lindungi aplikasi dan pengguna Anda!

Tak ada yang perlu dikhawatirkan.