Axios, en kjent frontbank, ble forgiftet! CVE-2026-25639 Høy-risiko loopholes som kan føre til sammenbrudd av Node.js serveren

I februar 2026 ble JavaScript konfrontert med en stor sikkerhetskrise!Det velkjente HTTP-klientbiblioteket Axios ble funnet å ha et sikkerhetsgap med høy risiko CVE-2026-25639Dette loophole tillater eksterne angripere å utløse benektelse av tjenester (DoS) angrep ved å sende en enkelt skadelig forespørsel, noe som resulterer i plutselig sammenbrudd av Node.js serveren. Dette loophole påvirker alle Axios versjoner til 1.13.4 og CVSS rangeringer opp til 7.5 (høy risiko)Jeg vet ikke. Sjekk og oppgrader umiddelbart hvis du er front-end eller Node.js utvikler!

Oversikt over hull

Felter	Detaljer
CVE-ID	CVE-2026-25639
Ekstent	Høy risiko (CVSS 7,5)
Påvirket pakker	axios (npm)
Påvirket versjon	<= 1.13.4
Effekt	Deny service (server crash)
Angrep vektor	Nettverk (mote)
Fix versjon	1.13.5

Det er en god ide.

Loopholet eksisterer i Axios MergeConfig-funksjonDenne funksjonen konsoliderer ulike konfigurasjonsobjekter. Når funksjonsbehandling inneholder proto Når objektet er konfigurert som en nøkkel, krasjer programmet.

Angrepsstrøm

• Axios Standard Kjør gjennom konfigurasjonsegenskaper for å slå dem sammen
• Angriperen inkluderer __proto__ Skadelig JSON-objekt
• Axios forsøkte å finne en flettepolitikk, men uventet fikk Object.prototype
• Kode prøver å kalle prototypen som en funksjon
• Fordi Object.prototype Det er et objekt, ikke en funksjon. Kast den. TypeError
• Søknad krasjer umiddelbart

Eksempel på angrep

Angriperen sendte bare nyttelasten for å bryte ned serveren:

{"__proto__": {"x": 1}}

Det er en enkel måte å angripe.Lav angrepskompleksitetVurderinger, men veldig skadelig.

Angrepsscenen.

Dette sløyfehullet er spesifikt for følgende anvendelser:

• GodtaInngang fra brukerkontrollSøknad (f.eks. JSON-kropp)
• Bruk JSON.parse() Parsing-inngang
• Importer et tolket objekt til Axios- konfigurasjonen (f.eks. axios.get(url, userConfig)Jeg vet ikke.

Anvendelsen av disse forholdene er i fare for å bli angrepet.En skadelig forespørsel vil tillate hele tjenesten. LinjeDet påvirker alle brukere.

Distinksjon fra prototypeforurensning

Det som trenger oppmerksomhet er dette loophole.Ulike fra den tradisjonelle prototype forurensning sløyfehull.Jeg vet ikke. I den tradisjonelle prototypeforurensning påvirker angriperne andre objekter ved å endre objektprototypen, og i dette loophullet,Søknaden krasjet før egenskapene ble forurenset.Jeg vet ikke.

Denne sammenbruddsmekanismen gjør angrepet mer direkte og dødelig -Uten en kompleks brukskjede er det over.Jeg vet ikke.

Rehabiliteringsprogram

Oppgrader nå

Axios, offisiell. Versjon 1.13.5 Andre arrangører __proto__ Nøkkelen for å hindre typefeil.

Bruk npm til å oppgradere:

npm update axios

Bruk garn til oppgradering:

yarn upgrade axios

Sjekk gjeldende versjon:

npm list axios

Autentiseringsrettinger

Oppgradering for å sikre at aksioversjonen av pakken.json er:

"axios": ">=1.13.5"

• Effektomfang

Axios er en av de mest populære HTTP-klientbankene i JavaScript-økosystemer, og det er den mest populære HTTP-klientbanken i verden.Over 50 millioner nedlastinger i uken.Jeg vet ikke. Dette sløyfehullet har store konsekvenser:

• Frontend: Bruk Axios Vue, React, Angular program
• Node.js MotorService-end-applikasjon med Axios
• Microservice arkitekturAndre arrangører
• Forretningssøknader: Et stort antall bedriftssystemer er avhengige av Axios

Hvordan?

1. Undersøkelse av avhengige versjoner

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Bruk av sikkerhetsskanningsverktøy

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Sikkerhetsrådgivning

• Oppgrader nå: Alle prosjekter som bruker aksios < = 1.13.4 er umiddelbart oppgradert til 1.13.5
• RevisortillitSjekk alle prosjektavhengigheter for å sikre at gamle versjoner ikke innføres indirekte
• Inndataautentisering: Streng validering av brukerinndata for å unngå direkte oppføring i konfigurasjonsobjektet
• Sikkerhetsvarsel.: forbedret serverovervåkning og rettidig deteksjon av unormale sammenbrudd
• SikkerhetstestRegelmessige sikkerhetstester for å oppdage potensielle hull

Sammendrag

CVE-2026-25639 er et av Axios bibliotekHøy-risiko benekting av tjenestemanglerOg angriperne kan gjøre Node.js server kollapse i et øyeblikk ved å bare skadelig JSON objekter. Dette loophole har en bred påvirkning og er svært skadelig.

Som utviklere må vi være oppmerksomme.• Tidlig oppdatering av avhengighet, validering av brukerinndata, forbedret sikkerhetstesting. Sikkerhet, en tilsynelatende enkel konfigurasjon kombinert funksjon, kan også være et dødelig inngangspunkt.

Hvis du fortsatt bruker axios < = 1.13.4,Oppgrader umiddelbart til 1.13.5.Beskytt applikasjoner og brukere!

Det er ingenting å bekymre seg for.