Axios, een bekende voorbank, werd vergiftigd! CVE-2026-25639 Fouten met een hoog risico die de afbraak van de Node.js-server kunnen veroorzaken

In februari 2026 werd JavaScript geconfronteerd met een grote veiligheidscrisis!De bekende HTTP-cliëntbibliotheek Axios bleek een hoog risico veiligheidskloof te hebben CVE-2026-25639Deze maas laat externe aanvallers toe om de ontkenning van diensten (DoS) aanval te activeren door het verzenden van een enkele kwaadaardig verzoek, wat resulteert in de plotselinge ineenstorting van de Node.js server. Deze maas heeft betrekking op alle Axios versies tot 1.13.4 en CVSS ratings tot 7,5 (hoog risico)Ik weet het niet. Controleer en upgrade onmiddellijk als u front-end of Node.js ontwikkelaar bent!

Overzicht van hiaten

Velden	Gegevens
CVE ID	CVE-2026-25639
Mate	Hoog risico (CVSS 7.5)
Betrokken pakketten	axios (npm)
Betrokken versie	<= 1.13.4
Effect	Dienst weigeren (server crash)
Aanvalsvector	Netwerk (remote)
Versie herstellen	1.13.5

Het is een goed idee.

Het gat bestaat in Axios MergeConfig functie, deze functie consolideert verschillende configuratie objecten. Wanneer functieverwerking bevat proto Wanneer het object is geconfigureerd als een sleutel, de toepassing crasht.

Aanvalstroom

• Axios standaard door configuratie-eigenschappen uitvoeren om ze samen te voegen
• De aanvaller omvat __proto__ kwaadaardig JSON-object
• Axios probeerde een mergebeleid te vinden, maar kreeg onverwachts Object.prototype
• Code probeert het prototype als functie te noemen
• Omdat Object.prototype Het is een object, geen functie. Gooi het. TypeError
• Toepassing crasht onmiddellijk

Voorbeeld van een aanval

De aanvaller stuurde de lading om de server te breken:

{"__proto__": {"x": 1}}

Het is een eenvoudige manier om aan te vallen.Lage aanval complexiteitWaarderingen, maar zeer schadelijk.

De aanvalscène.

Deze leemte is specifiek voor de volgende toepassingen:

• AccepterenGebruikerscontrole invoerToepassing (bv. JSON-lichaam)
• Gebruik JSON.parse() Invoer ontleden
• Importeer een ontleed object in de Axios configuratie (bijv. axios.get(url, userConfig)Ik weet het niet zeker.

De toepassing van deze voorwaarden dreigt te worden aangevallen.Een kwaadaardig verzoek zal de hele dienst toestaan. RegelHet beïnvloedt alle gebruikers.

Onderscheid van prototypevervuiling

Er moet aandacht worden besteed aan deze leemte.Anders dan het traditionele prototype van vervuiling.Ik weet het niet. In het traditionele prototype contaminatie beïnvloeden de aanvallers andere objecten door het prototype van het object aan te passen.De toepassing crashte voordat de eigenschappen besmet waren.Ik weet het niet.

Dit instortingsmechanisme maakt de aanval directer en dodelijkerZonder complexe gebruiksketen is het voorbij.Ik weet het niet.

Herstelprogramma

Nu upgraden

Axios, officieel. Versie 1.13.5 Andere organisator __proto__ sleutel om typefouten te voorkomen.

Gebruik npm om te upgraden:

npm update axios

Gebruik garen om te upgraden:

yarn upgrade axios

Huidige versie controleren:

npm list axios

Authenticatieherstel

Upgrade om ervoor te zorgen dat de axio versie van het pakket.json is:

"axios": ">=1.13.5"

• Omvang van de impact

Axios is een van de meest populaire HTTP-clientbanken in JavaScript-ecosystemen en is de populairste HTTP-clientbank ter wereld.Meer dan 50 miljoen downloads per week.Ik weet het niet. Deze leemte heeft een breed scala aan gevolgen:

• Frontend: Gebruik Axios Vue, React, Hoekapplicatie
• Node.js-backendService-end toepassing met behulp van Axios
• Microservice architectuurAndere organisator
• Toepassingen op ondernemingen: Een groot aantal ondernemingssystemen is afhankelijk van Axios

Hoe?

1. Onderzoek van afhankelijke versies

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Gebruik van security scanning tools

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Veiligheidsadvies

• Nu upgraden: Alle projecten die gebruik maken van axio's < = 1.13.4 worden onmiddellijk opgewaardeerd tot 1.13.5
• Controle: controleer alle projectafhankelijkheden om ervoor te zorgen dat oude versies niet indirect worden ingevoerd
• Invoerauthenticatie: Strikte validatie van gebruikersinvoer om directe toegang tot het configuratieobject te voorkomen
• Beveiligingsalarm.: verbeterde serverbewaking en tijdige detectie van abnormale storingen
• BeveiligingstestRegelmatige beveiligingstests om mogelijke lacunes op te sporen

Samenvatting

CVE-2026-25639 is een van de Axios bibliotheekOntkenning van lacunes in de dienstverlening met een hoog risicoEn de aanvallers kunnen de Node.js server ineen storten door simpelweg kwaadaardige JSON objecten. Deze leemte heeft een brede impact en is zeer schadelijk.

Als ontwikkelaars moeten we waakzaam blijven.• Tijdig bijwerken van afhankelijkheid, validatie van gebruikersinvoer, verbeterde beveiligingstesten. Veiligheid, een schijnbaar eenvoudige configuratie gecombineerd functie, kan ook een dodelijk ingangspunt zijn.

Als u nog steeds axios < = 1.13.4 gebruikt,Gelieve onmiddellijk te upgraden naar 1.13.5.Bescherm uw toepassingen en gebruikers!

Maak je geen zorgen.