Axios, znany frontowy bank, został otruty! CVE- 2026- 25639 Luki ryzyka, które mogą spowodować rozbicie serwera Node.js

W lutym 2026 roku JavaScript stanął w obliczu poważnego kryzysu bezpieczeństwa!Znana biblioteka klienta HTTP Axios posiada dużą lukę bezpieczeństwa CVE- 2026- 25639Ta luka umożliwia zdalnym napastnikom wywołanie ataku zaprzeczania usługom (DoS) poprzez wysłanie jednego złośliwego żądania, co prowadzi do nagłego upadku serwera Node.js. Ta luka wpływa na wszystkie wersje Axios do 1.13.4 i oceny CVSS do 7.5 (wysokie ryzyko)Nie wiem. Sprawdź i uaktualnij natychmiast, jeśli jesteś deweloper-end lub Node.js!

Pokrycie naruszenia bezpieczeństwa Axios

Przegląd luk

Pola	Szczegóły
CVE ID	CVE- 2026- 25639
Zakres	Wysokie ryzyko (CVSS 7,5)
Dotknięte pakiety	axios (npm)
Wersja dotknięta	<= 1.13.4
Wpływ	Odmowa usługi (awaria serwera)
Wektor ataku	Sieć (zdalna)
Napraw wersję	1.13.5

To dobry pomysł.

Luka istnieje w Axios Funkcja MergeConfig, funkcja konsoliduje różne obiekty konfiguracyjne. Gdy przetwarzanie funkcji zawiera proto Kiedy obiekt jest skonfigurowany jako klucz, aplikacja się zawiesza.

Przepływ ataku

Axios domyślnie uruchomić przez właściwości konfiguracji, aby połączyć je
Napastnik zawiera __proto__ Złośliwy obiekt JSON
Axios próbował znaleźć politykę połączenia, ale niespodziewanie Object.prototype
Kod próbuje nazwać prototyp jako funkcję
Ponieważ Object.prototype To obiekt, nie funkcja. Rzuć. TypeError
Awaria aplikacji natychmiast

Przykład ataku

Atakujący po prostu wysłał ładunek, aby rozbić serwer:

{"__proto__": {"x": 1}}

To prosty sposób na atak.Niska złożoność atakuOceny, ale bardzo szkodliwe.

Scena ataku.

Ta luka jest specyficzna dla następujących zastosowań:

AkceptujWejście do kontroli użytkownikaZastosowanie (np. ciało JSON)
Stosowanie JSON.parse() Przesiewanie wejścia
Zaimportować do konfiguracji Axios (np. axios.get(url, userConfig)Nie jestem pewna.

Stosowanie tych warunków jest zagrożone atakiem.Złośliwa prośba pozwoli na całą usługę. LiniaDotyczy wszystkich użytkowników.

Rozróżnienie od zanieczyszczenia prototypu

Trzeba zwrócić uwagę na tę lukę.Różni się od tradycyjnego prototypu luka zanieczyszczeń.Nie wiem. W tradycyjnym skażeniu prototypu atakujący wpływają na inne obiekty modyfikując prototyp obiektu, a w tej luce,Aplikacja rozpadła się zanim właściwości zostały skażone.Nie wiem.

Ten mechanizm zapadania sprawia, że atak jest bardziej bezpośredni i zabójczy.Bez skomplikowanego łańcucha wykorzystania, to koniec.Nie wiem.

Program rehabilitacji

Aktualizacja

Axios, oficjalnie. Wersja 1.13.5 Inny organizator __proto__ klucz do zapobiegania błędom typu.

Użyj npm do aktualizacji:

npm update axios

Do aktualizacji użyj przędzy:

yarn upgrade axios

Sprawdź bieżącą wersję:

npm list axios

Poprawki uwierzytelniania

Upgrade, aby zapewnić, że wersja aksjos package.json jest:

"axios": ">=1.13.5"

• Zakres oddziaływania

Axios jest jednym z najpopularniejszych banków klientów HTTP w ekosystemach JavaScript i jest najpopularniejszym bankiem klientów HTTP na świecie.Ponad 50 milionów pobrań tygodniowo.Nie wiem. Ta luka ma wszechstronne konsekwencje:

Frontend: Użyj Axios Vue, React, Angular aplikacji
Node.js BackendAplikacja na koniec usługi przy użyciu Axios
Architektura mikrousługInny organizator
Wnioski przedsiębiorstw: Duża liczba systemów przedsiębiorczości opiera się na Axios

Jak?

1. Badanie wersji zależnych

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Wykorzystanie narzędzi do skanowania zabezpieczeń

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Doradztwo w zakresie bezpieczeństwa

Aktualizacja: Wszystkie projekty wykorzystujące aksjozy < = 1.13.4 są natychmiast zmodernizowane do 1.13.5
Poleganie na kontroli: sprawdzić wszystkie zależności od projektu, aby upewnić się, że stare wersje nie są pośrednio wprowadzone
Uwierzytelnianie wejścia: Ścisła walidacja wejścia użytkownika, aby uniknąć bezpośredniego wejścia do obiektu konfiguracyjnego
Alarm bezpieczeństwa.: ulepszony nadzór serwerów i terminowe wykrywanie nieprawidłowych awarii
Badanie bezpieczeństwaRegularne testy bezpieczeństwa w celu wykrycia potencjalnych luk

Streszczenie

CVE- 2026- 25639 jest jedną z biblioteki AxiosOdrzucenie braków w świadczeniu usług z tytułu wysokiego ryzykaA atakujący mogą sprawić, że serwer Node.js zawali się w jednej chwili przez złośliwe obiekty JSON. Ta luka ma szeroki wpływ i jest bardzo szkodliwa.

Jako deweloperzy musimy zachować czujność.• Terminowa aktualizacja zależności, walidacja danych wejściowych użytkowników, ulepszone testy bezpieczeństwa. Bezpieczeństwo, pozornie prosta, połączona funkcja konfiguracji, może być również śmiertelnym punktem wejścia.

Jeśli nadal używasz axios < = 1.13.4,Proszę natychmiast uaktualnić do 1.13.5.Chroń swoje aplikacje i użytkowników!

Nie ma się czym martwić.