Axios ธนาคารด้านหน้าที่เป็นที่รู้จักกันดีถูกวางยาพิษ! CEV-2026-25639 ช่องโหว่ที่มีความเสี่ยงสูง อาจทําให้เกิดความล้มเหลวของแม่ข่าย Node.js

ใน เดือน กุมภาพันธ์ 2026 จาวาสคริปต์ เผชิญ กับ วิกฤตการณ์ ใหญ่ ด้าน ความ ปลอด ภัย!พบว่าห้องสมุด Axios ลูกความ HTTP ที่เป็นที่รู้จักกันดี มีช่องว่างความปลอดภัยสูง CVE-2026-25639ช่องโหว่นี้ อนุญาตให้ผู้โจมตีระยะไกล จุดชนวนการปฏิเสธบริการ (DOS) ที่ถูกจู่โจมด้วยการส่งคําขอที่มุ่งร้ายเพียงครั้งเดียว ทําให้เซิร์ฟเวอร์ Node.js ล่มสลายอย่างกะทันหัน ช่องโหว่นี้มีผลต่อทุกรุ่น Axios ไป 1.13.4 และ CVSS เรตติ้งถึง 7.5 (ความเสี่ยงสูง)ฉันไม่รู้ Check and update ทันที หากคุณอยู่ด้านหน้าหรือพัฒนา Nodejs!

ภาพรวมของช่องว่าง

ช่องข้อมูล	รายละเอียด
หมายเลข CEV	CEV-2026-25639
ขอบเขตสี	ความเสี่ยงสูง (CVS 7. 5)
แพกเกจที่มีผลกระทบ	acsios (npm)
รุ่นที่ได้รับผลกระทบ	<= 1.13.4
ลูกเล่น	บริการปฏิเสธ (เครื่องแม่ข่ายล่ม)
ลูกเล่น	เครือข่าย (remote)
รุ่นของการแก้ไข	1.13.5

เป็นความคิดที่ดี

มี ช่อง โหว่ ใน แอ ส ซิ โอ ผสานฟังก์ชันConfigฟังก์ชันนี้รวมวัตถุในการปรับแต่งที่แตกต่างกัน เมื่อมีส่วนประมวลผลของฟังก์ชัน ตัวพิมพ์ใหญ่ เมื่อวัตถุถูกปรับแต่งเป็นกุญแจ โปรแกรมจะล่ม

การไหลโจมตี

• Axios ปริยายทํางานผ่านคุณสมบัติการปรับแต่งที่จะรวมมัน
• รวมไปถึงคนร้ายด้วย __proto__ วัตถุ เจ สัน
• Axios พยายามที่จะหานโยบายรวม แต่ไม่คาดคิดได้ Object.prototype
• รหัสพยายามเรียกต้นแบบเป็นฟังก์ชัน
• เพราะว่า Object.prototype มันเป็นวัตถุ ไม่ใช่ฟังก์ชัน โยนมัน. TypeError
• โปรแกรมเกิดความผิดพลาดทันที

ตัวอย่างการโจมตี

การโจมตีเพียงแค่ส่งโหลดเพื่อทําลายแม่ข่าย:

{"__proto__": {"x": 1}}

มันเป็นวิธีโจมตีง่ายๆความซับซ้อนของการโจมตีต่ําเรตติ้ง แต่อันตรายมาก

ฉากโจมตี

ช่องว่างนี้จะระบุไปยังโปรแกรมต่อไปนี้:

• ยอมรับการป้อนข้อมูลผู้ใช้โปรแกรม (e.g. json)
• ใช้ JSON.parse() กําลังกระจายข้อมูล
• นําเข้าวัตถุที่วิเคราะห์แล้วมายังการปรับแต่ง Axios (เช่น axios.get(url, userConfig)ฉันไม่แน่ใจ

การใช้เงื่อนไขเหล่านี้เสี่ยงต่อการถูกโจมตีคํา ขอ อัน มุ่ง ร้าย จะ ทํา ให้ งาน นี้ สําเร็จ ครบ ถ้วน. เส้นมันมีผลต่อผู้ใช้ทุกคน

การแยกจากมลพิษต้นแบบ

สิ่งที่จําเป็นต้องให้ความสนใจ คือช่องโหว่นี้แตกต่างจากช่องโหว่ของมลพิษต้นแบบดั้งเดิมฉันไม่รู้ ในการปนเปื้อนต้นแบบแบบดั้งเดิม ผู้ร้ายมีอิทธิพลต่อวัตถุอื่น ๆ โดยการแก้ไขต้นแบบวัตถุ และในช่องโหว่นี้โปรแกรมล่ม ก่อนที่คุณสมบัติจะถูกปนเปื้อนฉันไม่รู้

กลไก การ ล่ม สลาย นี้ ทํา ให้ การ โจมตี นั้น ตรง ไป ตรง มา และ ทํา ให้ ถึง ตาย มาก ขึ้น —ถ้าไม่มีห่วงโซ่การเหนี่ยวนําที่ซับซ้อน มันจบแล้วฉันไม่รู้

โปรแกรมปรับเสียง

ปรับรุ่นเดี๋ยวนี้

Axios, อย่างเป็นทางการ. รุ่น 1. 13. 5 ผู้ประสานงานอื่น __proto__ กุญแจเพื่อป้องกันความผิดพลาด

ใช้ npm เพื่อปรับรุ่น:

npm update axios

ใช้เธรดเพื่อปรับรุ่น:

yarn upgrade axios

Check รุ่นปัจจุบัน:

npm list axios

แก้ไขการตรวจสอบสิทธิ์

ปรับรุ่นเพื่อให้แน่ใจว่า acsios รุ่นของแพกเกจ.json คือ:

"axios": ">=1.13.5"

• ผล กระทบ

Axios เป็นหนึ่งในลูกค้า HTTP ที่ได้รับความนิยมมากที่สุด ธนาคารในระบบนิเวศของจาวาสคริปต์ และมันเป็นธนาคารลูกค้า HTTP ที่เป็นที่นิยมที่สุดในโลกกว่า 50 ล้านดาวน์โหลดต่ออาทิตย์ฉันไม่รู้ ช่องโหว่นี้มีผลกระทบที่กว้างมาก

• ฟร้อนท์เอนด์สืบค้นเมื่อ:
• โปรแกรมเบื้องหลัง node. jsโปรแกรมบริการที่ใช้งาน Axios
• สถาปัตยกรรมของบริการไมโครผู้ประสานงานอื่น
• โปรแกรมอื่น ๆ: enterprise System จํานวนมากมายขึ้นอยู่กับ Axios

ยังไง?

1. ตรวจ สอบรุ่นที่พึ่งพาไม่ได้

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. ใช้เครื่องมือสแกนความปลอดภัย

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

คําแนะนําความปลอดภัย

• ปรับรุ่นเดี๋ยวนี้สืบค้นเมื่อ 1.13.4.
• ความ ไว้ วางใจ▪ ตรวจ สอบ ความ เกี่ยว พัน ระหว่าง โครงการ ทุก อย่าง เพื่อ ให้ แน่ ใจ ว่า ฉบับ แปล เก่า ๆ ไม่ ได้ ถูก นํา มา ใช้ โดย อ้อม
• การตรวจสอบสิทธิ์สําหรับนําเข้าแปรงทาสี
• แจ้งเตือนความปลอดภัยสืบค้นเมื่อเกิดความผิดปกติของเครื่องแม่ข่าย
• ทดสอบความปลอดภัยการ ตรวจ ความ ปลอด ภัย เป็น ประจํา เพื่อ ตรวจ พบ ช่อง ว่าง ที่ อาจ เกิด ขึ้น ได้

สรุป

CEV-2026-25639 เป็นหนึ่งในห้องสมุด Axiosการปฏิเสธช่องว่างบริการที่มีความเสี่ยงสูงและคนร้ายสามารถทําให้เครื่องบริการ Nodejs พังในพริบตา โดยเพียงแค่วัตถุอันตราย json ช่องโหว่นี้มีผลกระทบกว้างมาก และเป็นอันตรายอย่างมาก

ในฐานะนักพัฒนา เราต้องระวังตัว• ปรับ ปรุง เวลา ของ การ ติด ต่อ, การ ยืน ยัน การ เข้า หา ผู้ ใช้, การ เพิ่ม การ ทดสอบ ความ ปลอด ภัย. ความ ปลอดภัย ซึ่ง ดู เหมือน เป็น วิธี ง่าย ๆ ที่ จะ ทํา งาน รวม กัน อาจ เป็น จุด ที่ นํา ไป สู่ ความ ตาย ได้ ด้วย.

ถ้าคุณยังใช้ axos < = 1.13.4กรุณาอัพเกรดทันทีเป็น 1.13.5.ปกป้องโปรแกรมและผู้ใช้ของคุณ!

ไม่มีอะไรต้องกังวล