【安全大事件】知名前端庫 Axios 被投毒！CVE-2026-25639 高危漏洞可導致 Node.js 服務器崩潰
2026年2月，JavaScript 生態遭遇重大安全危機！知名 HTTP 客戶端庫 Axios 被發現存在高危安全漏洞 CVE-2026-25639，該漏洞允許遠程攻擊者通過發送單個惡意請求觸發拒絕服務（DoS）攻擊，導致 Node.js 服務器瞬間崩潰。這一漏洞影響所有 Axios 版本至 1.13.4，CVSS 評分高達 7.5（高危）。如果你是前端或 Node.js 開發者，請立即檢查並升級！
🚨 漏洞概覽
| 字段 | 詳情 |
|---|---|
| CVE ID | CVE-2026-25639 |
| 嚴重程度 | 高危（CVSS 7.5） |
| 受影響包 | axios (npm) |
| 受影響版本 | <= 1.13.4 |
| 影響 | 拒絕服務（服務器崩潰） |
| 攻擊向量 | 網絡（遠程） |
| 修復版本 | 1.13.5 |
🔍 漏洞原理
該漏洞存在於 Axios 的 mergeConfig 函數中，該函數用於合併不同的配置對象。當函數處理包含 __proto__ 作爲鍵的配置對象時，會導致應用程序崩潰。
攻擊流程
- Axios 默認遍歷配置屬性以合併它們
- 攻擊者提供包含
__proto__的惡意 JSON 對象 - Axios 嘗試查找合併策略，但意外獲取到
Object.prototype - 代碼嘗試將原型作爲函數調用
- 由於
Object.prototype是對象而非函數，拋出TypeError - 應用程序瞬間崩潰
攻擊示例
攻擊者只需發送如下 payload 即可讓服務器崩潰：
{"__proto__": {"x": 1}}這種簡單的攻擊方式使其獲得低攻擊複雜度評級，但危害極大。
🎯 攻擊場景
該漏洞專門針對以下應用場景：
- 接受用戶控制輸入（如 JSON body）的應用
- 使用
JSON.parse()解析輸入 - 將解析後的對象傳入 Axios 配置（如
axios.get(url, userConfig)）
符合以上條件的應用都面臨被攻擊風險，一個惡意請求即可讓整個服務下線，影響所有用戶。
⚠️ 與原型污染的區別
需要注意的是，這個漏洞不同於傳統的原型污染漏洞。在傳統原型污染中，攻擊者通過修改對象原型來影響其他對象；而在這個漏洞中，應用程序在屬性被污染之前就崩潰了。
這種崩潰機制使得攻擊更加直接和致命——沒有複雜的利用鏈，一擊即潰。
🛡️ 修復方案
立即升級
Axios 官方已在 版本 1.13.5 中修復此漏洞，正確處理 __proto__ 鍵以防止類型錯誤。
使用 npm 升級：
npm update axios使用 yarn 升級：
yarn upgrade axios檢查當前版本：
npm list axios驗證修復
升級後，確保 package.json 中的 axios 版本爲：
"axios": ">=1.13.5"📊 影響範圍
Axios 是 JavaScript 生態系統中最流行的 HTTP 客戶端庫之一，每週下載量超過 5000 萬次。該漏洞影響範圍極廣：
- 前端項目：使用 Axios 的 Vue、React、Angular 應用
- Node.js 後端：使用 Axios 的服務端應用
- 微服務架構：服務間通信使用 Axios
- 企業級應用：大量企業系統依賴 Axios
🔍 如何檢測
1. 檢查依賴版本
# 检查项目中的 axios 版本
npm list axios
# 或查看 package.json
cat package.json | grep axios2. 使用安全掃描工具
# 使用 npm audit
npm audit
# 使用 Snyk
snyk test💡 安全建議
- 立即升級：所有使用 axios <= 1.13.4 的項目立即升級到 1.13.5
- 審計依賴：檢查項目所有依賴，確保沒有間接引入舊版本 axios
- 輸入驗證：對用戶輸入進行嚴格驗證，避免直接傳入配置對象
- 監控告警：加強服務器監控，及時發現異常崩潰
- 安全測試：定期進行安全測試，發現潛在漏洞
📝 總結
CVE-2026-25639 是 Axios 庫的一個高危拒絕服務漏洞，攻擊者可通過簡單的惡意 JSON 對象讓 Node.js 服務器瞬間崩潰。該漏洞影響廣泛，危害嚴重。
作爲開發者，我們必須時刻保持警惕：及時更新依賴、驗證用戶輸入、加強安全測試。安全無小事，一個看似簡單的配置合併函數，也可能成爲致命的攻擊入口。
如果你還在使用 axios <= 1.13.4，請立即升級到 1.13.5，保護你的應用和用戶安全！
安全無小事，升級不容緩！🛡️