Русский

← Вернуться к списку

Аксиос, известный фронт-банк, был отравлен! CVE-2026-25639 Лазейки высокого риска, которые могут привести к сбою сервера Node.js

itadol5j

В феврале 2026 года JavaScript столкнулся с серьезным кризисом безопасности.Известная библиотека HTTP-клиентов Axios имеет высокий уровень безопасности CVE-2026-25639.Эта лазейка позволяет удаленным злоумышленникам инициировать атаку на отказ в обслуживании (DoS) путем отправки одного вредоносного запроса, что приводит к внезапному обрушению сервера Node.js. Эта лазейка влияет на все версии Axios до 1,13,4 и CVSS. 7.5 (высокий риск)Я не знаю. Немедленно проверьте и обновите, являетесь ли вы разработчиком интерфейса или Node.js!

Покрытие нарушения безопасности Axios

Обзор пробелов

ПоляПодробности
Идентификатор CVECVE-2026-25639
объемВысокий риск (CVSS 7.5)
Пострадавшие пакетыaxios (npm)
Пострадавшая версия<= 1.13.4
ВоздействиеОтказ в обслуживании (Server crash)
вектор атакиСеть (удаленная)
Версия Fix1.13.5

Хорошая идея.

Лазейка существует в Аксиосе ФункцияrgeConfigЭта функция объединяет различные объекты конфигурации. Когда функция обработки содержит прото Когда объект конфигурируется в качестве ключа, приложение падает.

Атакующий поток

  • Axios Default работает через конфигурационные свойства, чтобы объединить их
  • Злоумышленник включает __proto__ Вредоносный объект JON
  • Аксиос пытался найти политику слияния, но неожиданно получил Object.prototype
  • Код пытается назвать прототип функцией.
  • Потому что Object.prototype Это объект, а не функция. Бросай. TypeError
  • Приложение падает мгновенно

Пример атаки

Злоумышленник просто отправил полезную нагрузку, чтобы сломать сервер:

{"__proto__": {"x": 1}}

Это простой способ атаковать.Низкая сложность атакиРейтинги, но очень вредные.

Место нападения.

Эта лазейка характерна для следующих приложений:

  • приниматьКонтроль пользователяПрименение (например, орган JSON)
  • Использовать JSON.parse() Ввод парсинга
  • Импорт парсированного объекта в конфигурацию Axios (например, g). axios.get(url, userConfig)Я не уверен.

Применение этих условий находится под угрозой нападения.Вредоносный запрос позволит использовать весь сервис. линияЭто касается всех пользователей.

Отличие от загрязнения прототипа

Что требует внимания, так это лазейка.Отличается от традиционного прототипа лазейкой загрязнения.Я не знаю. При традиционном загрязнении прототипа злоумышленники воздействуют на другие объекты, модифицируя прототип объекта, и в этой лазейкеПриложение разбилось до того, как свойства были загрязнены.Я не знаю.

Этот механизм коллапса делает нападение более прямым и смертельным.Без сложной цепочки использования все кончено.Я не знаю.

Программа реабилитации

Обновить сейчас

Аксиос, чиновник. Версия 1.13.5 Другие организаторы __proto__ Ключ для предотвращения ошибок типа.

Используйте npm для обновления:

npm update axios

Используйте пряжу для обновления:

yarn upgrade axios

Проверьте текущую версию:

npm list axios

Аутентификация фиксирует

Обновление, чтобы убедиться, что версия axios пакета.json:

"axios": ">=1.13.5"

• Сфера воздействия

Axios является одним из самых популярных банков HTTP-клиентов в экосистемах JavaScript и самым популярным банком HTTP-клиентов в мире.Более 50 миллионов загрузок в неделю.Я не знаю. Эта лазейка имеет широкие последствия:

  • фронтендИспользование Axios Vue, React, Angular
  • Node.js BackendСервисное приложение с использованием Axios
  • Микросервисная архитектураДругие организаторы
  • Корпоративные приложенияБольшое количество корпоративных систем полагаются на Axios

Как?

1. Изучение зависимых версий

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Использование инструментов сканирования безопасности

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Советы по безопасности

  • Обновить сейчасВсе проекты, использующие аксиос <= 1.13.4, немедленно модернизируют до 1.13.5
  • Аудиторская зависимостьПроверьте все зависимости проекта, чтобы убедиться, что старые версии не вводятся косвенно.
  • Вводная аутентификацияСтрогая проверка пользовательского ввода, чтобы избежать прямого входа в объект конфигурации
  • Предупреждение.Улучшенное наблюдение за сервером и своевременное обнаружение аномальных поломок
  • Тест безопасностиРегулярные тесты безопасности для выявления потенциальных пробелов

Резюме

CVE-2026-25639 является одной из библиотек Аксиоса.Высокий риск отказа в обслуживанииА злоумышленники могут заставить сервер Node.js рухнуть в одно мгновение просто вредоносными объектами JSON. Эта лазейка оказывает широкомасштабное воздействие и очень вредна.

Как разработчики, мы должны быть бдительными.Своевременное обновление зависимостей, валидация пользовательского ввода, расширенное тестирование безопасности. Безопасность, казалось бы, простая комбинированная функция конфигурации, также может быть смертельной точкой входа.

Если вы все еще используете axios < = 1.13.4,Пожалуйста, немедленно обновите до 1.13.5.Защитите свои приложения и пользователей!

Не о чем беспокоиться.