Axios, en välkänd frontbank, förgiftades! CVE-2026-25639 Högrisk kryphål som kan orsaka sammanbrott av Node.js-servern

I februari 2026 konfronterades JavaScript med en stor säkerhetskris!Det välkända HTTP-klientbiblioteket Axios visade sig ha ett högrisk säkerhetsgap CVE-2026-25639Detta kryphål gör det möjligt för avlägsna angripare att utlösa förnekandet av tjänster (DoS) attack genom att skicka en enda skadlig begäran, vilket resulterar i plötslig kollaps av Node.js-servern. Detta kryphål påverkar alla Axios versioner till 1.13.4 och CVSS betyg upp till 7.5 (hög risk)Jag vet inte. Kontrollera och uppgradera omedelbart om du är front-end eller Node.js utvecklare!

Översikt över luckor

Fält	Detaljer
CVE ID	CVE-2026-25639
Extent	Hög risk (CVSS 7.5)
Påverkade paket	axios (npm)
Påverkad version	<= 1.13.4
Impact	Deny service (server krasch)
Attack vektor	Nätverk (fjärrkontroll)
Fix Version	1.13.5

Det är en bra idé.

Loophole finns i Axios MergeConfig funktionDenna funktion konsoliderar olika konfigurationsobjekt. När funktionsbehandling innehåller proto När objektet är konfigurerat som en nyckel kraschar programmet.

Attack flow

• Axios Default Kör genom konfigurationsegenskaper för att slå samman dem
• Angriparen inkluderar __proto__ Malicious JSON Object
• Axios försökte hitta en sammanslagning politik, men oväntat fick Object.prototype
• Kod försöker kalla prototypen som en funktion
• För därför Object.prototype Det är ett objekt, inte en funktion. Kasta den. TypeError
• Applikation kraschar omedelbart

Exempel på attack

Angriparen skickade helt enkelt nyttolast för att bryta ner servern:

{"__proto__": {"x": 1}}

Det är ett enkelt sätt att attackera.Låg attack komplexitetBetyg, men mycket skadligt.

Attackscenen.

Detta kryphål är specifikt för följande tillämpningar:

• AccepteraAnvändarkontroll InputAnsökan (t.ex. JSON kropp)
• Användning JSON.parse() Parsing Input
• Importera ett parserat objekt i Axios-konfigurationen (t.ex. axios.get(url, userConfig)Jag är inte säker.

Tillämpningen av dessa villkor riskerar att attackeras.En skadlig begäran kommer att tillåta hela tjänsten. Line LineDet påverkar alla användare.

Distinkt från prototypföroreningar

Vad som behöver uppmärksamhet är detta kryphål.Olika från det traditionella prototypföroreningsloophole.Jag vet inte. I den traditionella prototypföroreningen påverkar angriparna andra objekt genom att ändra objektprototypen och i detta kryphål,Applikationen kraschade innan egenskaperna var förorenade.Jag vet inte.

Denna kollapsmekanism gör attacken mer direkt och dödligUtan en komplex användningskedja är det över.Jag vet inte.

Rehabiliteringsprogram

Uppgradera nu

Axios, officiellt. Version 1.13.5 Övrig organisatör __proto__ nyckeln för att förhindra typfel.

Använd npm för att uppgradera:

npm update axios

Använd garn för att uppgradera:

yarn upgrade axios

Kontrollera aktuell version:

npm list axios

Autentisering fixar

Uppgradera för att säkerställa att axiosversionen av paketet.json är:

"axios": ">=1.13.5"

• Omfattning av påverkan

Axios är en av de mest populära HTTP-klientbankerna i JavaScript-ekosystem, och det är den mest populära HTTP-klientbanken i världen.Över 50 miljoner nedladdningar per vecka.Jag vet inte. Detta kryphål har omfattande konsekvenser:

• FrontendAnvänd Axios Vue, React, Angular Application
• Node.js BackendService-end-applikation med Axios
• Microservice arkitekturÖvrig organisatör
• FöretagsapplikationerEtt stort antal företagssystem är beroende av Axios

Hur?

1. Undersökning av beroende versioner

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

Användning av säkerhetsskanningsverktyg

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Säkerhetsråd

• Uppgradera nuAlla projekt som använder axios < = 1.13.4 uppgraderas omedelbart till 1.13.5
• Audit relianceKontrollera alla projektberoende för att se till att gamla versioner inte införs indirekt
• Input AuthenticationStrikt validering av användarinmatning för att undvika direkt inmatning i konfigurationsobjektet
• Säkerhetsvarning.förbättrad serverövervakning och snabb upptäckt av onormala sammanbrott
• SäkerhetstestRegelbundna säkerhetstest för att upptäcka potentiella luckor

Sammanfattning

CVE-2026-25639 är ett av Axios-biblioteketHögrisk förnekande av service luckorOch angriparna kan göra Node.js-servern kollapsa på ett ögonblick genom att helt enkelt skadliga JSON-objekt. Detta kryphål har en omfattande inverkan och är mycket skadligt.

Som utvecklare måste vi förbli vaksamma.• Tidig uppdatering av beroende, validering av användarinmatning, förbättrad säkerhetstestning. Säkerhet, en till synes enkel konfiguration kombinerad funktion, kan också vara en dödlig ingång.

Om du fortfarande använder axios < = 1.13.4,Uppgradera omedelbart till 1.13.5.Skydda dina applikationer och användare!

Det är inget att oroa sig för.