Axios, um conhecido banco da frente, foi envenenado! CVE-2026-25639 Falhas de alto risco que podem causar a quebra do servidor Node.js

Em fevereiro de 2026, o JavaScript foi confrontado com uma grande crise de segurança!A conhecida biblioteca de clientes HTTP Axios teve uma lacuna de segurança de alto risco CVE-2026-25639Esta lacuna permite que atacantes remotos ativem o ataque de negação de serviços (DoS) enviando uma única solicitação maliciosa, resultando no colapso súbito do servidor Node.js. Esta lacuna afeta todas as versões Axios para 1.13.4 e CVS até 7.5 (alto risco)Não sei. Verifique e atualize imediatamente se você é desenvolvedor de front-end ou Node.js!

Cobertura de violação de segurança Axios

Visão geral das lacunas

Campos	Detalhes
ID CVE	CVE-2026-25639
Extensão	Risco elevado (CVSS 7.5)
Pacotes afetados	axios (npm)
Versão afetada	<= 1.13.4
Impacto	Negar o serviço (erro do servidor)
Vetor de ataque	Rede (remote)
Corrigir a Versão	1.13.5

É uma boa ideia.

A brecha existe em Axios Função MergeConfig, esta função consolida diferentes objetos de configuração. Quando o processamento da função contém proto Quando o objeto é configurado como uma chave, a aplicação trava.

Fluxo de ataque

Axios por Omissão Executa as Propriedades de Configuração para Mesclar
O atacante inclui __proto__ Objeto JSON malicioso
O Axios tentou encontrar uma política de mesclagem, mas inesperadamente obteve Object.prototype
Código tenta chamar o protótipo como uma função
Porque... Object.prototype É um objecto, não uma função. Atira. TypeError
O aplicativo trava instantaneamente

Exemplo de ataque

O atacante simplesmente enviou a carga útil para quebrar o servidor:

{"__proto__": {"x": 1}}

É uma forma simples de atacar.Baixa complexidade de ataqueAvaliações, mas muito prejudiciais.

A cena de ataque.

Esta lacuna é específica para as seguintes aplicações:

AceitarEntrada de controle do usuárioAplicação (por exemplo, corpo JSON)
Utilização JSON.parse() A processar a entrada
Importar um objecto analisado para a configuração do Axios (p. ex. axios.get(url, userConfig)Não tenho a certeza.

A aplicação destas condições corre o risco de ser atacada.Um pedido malicioso permitirá todo o serviço. LinhaAfecta todos os utilizadores.

Distinção da poluição por protótipos

O que precisa de atenção é esta lacuna.Diferente da tradicional falha do protótipo de poluição.Não sei. No tradicional protótipo de contaminação, os atacantes influenciam outros objetos modificando o protótipo do objeto, e nesta brecha,A aplicação caiu antes das propriedades estarem contaminadas.Não sei.

Este mecanismo de colapso torna o ataque mais direto e letal —Sem uma complexa cadeia de utilização, acabou.Não sei.

Programa de reabilitação

Atualizar agora

Axios, oficial. Versão 1.13.5 Outro Organizador __proto__ chave para evitar erros de tipo.

Usar o npm para atualizar:

npm update axios

Usar o fio para atualizar:

yarn upgrade axios

Verificar a versão atual:

npm list axios

Correcções de autenticação

Atualizar para garantir que a versão axios do pacote.json é:

"axios": ">=1.13.5"

• Âmbito de aplicação

Axios é um dos bancos de clientes HTTP mais populares em ecossistemas JavaScript, e é o banco de clientes HTTP mais popular do mundo.Mais de 50 milhões de downloads por semana.Não sei. Esta lacuna tem amplas implicações:

Frontend: Use Axios Vue, React, Aplicação Angular
Infraestrutura Node.jsAplicativo de fim de serviço usando o Axios
Arquitetura de microserviçosOutro Organizador
Aplicações empresariais: Um grande número de sistemas empresariais dependem da Axios

Como?

1. Exame das versões dependentes

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Uso de ferramentas de digitalização de segurança

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Conselhos de segurança

Atualizar agora: Todos os projetos usando axios < = 1.13.4 são imediatamente atualizados para 1.13.5
Fiabilidade da auditoria: verificar todas as dependências do projeto para garantir que as versões antigas não sejam introduzidas indiretamente
Autenticação de Entrada: Validação rigorosa da entrada do usuário para evitar entrada direta no objeto de configuração
Alerta de segurança.: vigilância melhorada do servidor e detecção atempada de avarias anormais
Ensaio de segurançaTestes de segurança regulares para detectar potenciais lacunas

Resumo

CVE-2026-25639 é uma biblioteca de Axios.Negação de falhas de serviço de alto riscoE os atacantes podem fazer o servidor Node.js entrar em colapso em um instante por simples objetos JSON maliciosos. Esta lacuna tem um amplo impacto e é altamente prejudicial.

Como desenvolvedores, devemos permanecer vigilantes.• Actualização atempada da dependência, validação da entrada do utilizador, testes de segurança melhorados. A segurança, uma função combinada aparentemente simples de configuração, também pode ser um ponto de entrada letal.

Se você ainda estiver usando axios < = 1,13.4,Por favor, atualize imediatamente para 1.13.5.Proteja seus aplicativos e usuários!

Não te preocupes.