Axios, un bine-cunoscut front bank, a fost otrăvit! CVE-2026-2563 Bucle de mare risc care ar putea provoca descompunerea serverului Node.js

În februarie 2026, JavaScript s-a confruntat cu o criză majoră de securitate!Binecunoscuta bibliotecă de clienţi HTTP Axios a fost găsită ca având un decalaj de securitate cu risc ridicat CVE-2026-256339Această portiță permite atacatorilor de la distanță pentru a declanșa negarea de servicii (DoS) atac prin trimiterea unei singure cereri rău intenționate, ceea ce duce la prăbușirea bruscă a serverului Node.js. Această portiță afectează toate versiunile Axios la 1.13.4 și ratinguri CVSS până la 7.5 (risc ridicat)Nu ştiu. Verificați și upgrade imediat dacă sunteți front-end sau Node.js dezvoltator!

Prezentare generală a lacunelor

Câmpuri	Detalii
ID-ul CVE	CVE-2026-2563
Întindere	Risc crescut (CVSS 7.5)
Ambalaje afectate	axios (npm)
Versiunea afectată	<= 1.13.4
Impact	Serviciul de negare (accident de serviciu)
Vector de atac	Rețea (remotă)
Repară versiunea	1.13.5

E o idee bună.

Lacuna există în Axios Funcţia CombeConfig, această funcție consolidează diferite obiecte de configurare. Când prelucrarea funcțiilor conține proto Atunci când obiectul este configurat ca o cheie, aplicația se blochează.

Fluxul de atac

• Axios Implicit Rulează prin Proprietăți de configurare pentru a le combina
• Atacatorul include __proto__ Obiect JSON malicios
• Axios a incercat sa gaseasca o politica de unificare, dar pe neasteptate Object.prototype
• Codul încearcă să numească prototipul ca o funcție
• Pentru că Object.prototype E un obiect, nu o funcţie. Aruncă-l. TypeError
• Aplicarea se blochează instantaneu

Exemplu de atac

Atacatorul a trimis pur și simplu sarcina utilă pentru a sparge serverul:

{"__proto__": {"x": 1}}

Este un mod simplu de a ataca.Complexitate redusă a atacurilorRatinguri, dar foarte dăunătoare.

Scena de atac.

Această portiță de scăpare este specifică următoarelor aplicații:

• AcceptăCommentAplicare (de exemplu, corpul JSON)
• Utilizare JSON.parse() Parsare intrare
• Importă un obiect parsed în configurația Axios (de exemplu, axios.get(url, userConfig)Nu sunt sigur.

Aplicarea acestor condiţii riscă să fie atacată.O cerere maliţioasă va permite întregul serviciu. LinieAfectează toţi utilizatorii.

Distincția față de poluarea prototipului

Ceea ce are nevoie de atenție este această portiță de scăpare.Diferit de prototipul tradiţional de poluare.Nu ştiu. În contaminarea tradiţională prototip, atacatorii influenţează alte obiecte prin modificarea prototipului obiectului, şi în această portiţă de scăpare,Aplicaţia s-a prăbuşit înainte ca proprietăţile să fie contaminate.Nu ştiu.

Acest mecanism de colaps face atacul mai direct și letalFără un lanţ complex de utilizare, s-a terminat.Nu ştiu.

Programul de reabilitare

Actualizează acum

Axios, oficial. Versiunea 1.3.5 Alt organizator __proto__ cheie pentru prevenirea erorilor de tip.

Utilizați npm pentru a face upgrade:

npm update axios

Utilizați fire pentru actualizare:

yarn upgrade axios

Verificați versiunea curentă:

npm list axios

Fixări de autentificare

Upgrade pentru a se asigura că versiunea axios a pachetului.json este:

"axios": ">=1.13.5"

• Domeniul de aplicare al impactului

Axios este una dintre cele mai populare bănci client HTTP din ecosistemele JavaScript, și este cea mai populară bancă client HTTP din lume.Peste 50 de milioane de descărcări pe săptămână.Nu ştiu. Această portiţă are implicaţii ample:

• Frontend: Utilizați Axios Vue, React, Aplicație angulară
• Platforma Node.jsAplicație de sfârșit de serviciu utilizând Axios
• Arhitectura MicroserviceAlt organizator
• Aplicații pentru întreprinderi: Un număr mare de sisteme de întreprinderi se bazează pe Axios

Cum?

1. Examinarea versiunilor dependente

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Utilizarea instrumentelor de scanare de securitate

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Recomandări privind siguranţa

• Actualizează acum: Toate proiectele care utilizează axios < = 1.13.4 sunt actualizate imediat la 1.13.5
• Dependența de audit: verifică toate dependențele proiectului pentru a se asigura că versiunile vechi nu sunt introduse indirect
• Autentificare intrare: Validarea strictă a intrării utilizatorului pentru a evita intrarea directă în obiectul de configurare
• Alertă de securitate.: o supraveghere îmbunătățită a serverului și detectarea la timp a defecțiunilor anormale
• Încercarea de securitateTeste periodice de securitate pentru detectarea eventualelor lacune

Rezumat

CVE-2026-25639 este una dintre bibliotecile AxiosNegarea cu risc ridicat a lacunelor în materie de serviciiȘi atacatorii pot face serverul Node.js colaps într-o clipă de pur și simplu obiecte JSON rău intenționat. Această portiţă are un impact larg şi este extrem de dăunătoare.

Ca dezvoltatori, trebuie să rămânem vigilenţi.• Actualizarea în timp util a dependenței, validarea intrării utilizatorilor, testarea sporită a securității. Siguranța, aparent simplă funcție combinată, poate fi și un punct de intrare letal.

Dacă încă mai utilizați axios < = 1.13.4,Vă rugăm să actualizați imediat la 1.13.5.Protejaţi-vă aplicaţiile şi utilizatorii!

N-ai de ce să-ţi faci griji.