Axios, tanınmış bir ön banka, zehirlendi! CVE-2026-25639 Node.js sunucusunun bozulmasına neden olabilecek yüksek riskli boşluklar

2026 Şubat'ta JavaScript büyük bir güvenlik kriziyle karşı karşıya kaldı!Bilinen HTTP müşteri kütüphanesi Axios yüksek riskli güvenlik boşlukları CVE-2026-25639Bu döngü, uzaktan saldırganların hizmet inkarını (DoS) tek bir kötü niyetli istek göndererek tetikleyebilmelerine izin verir ve Node.js sunucusunun aniden çökmesine neden olur. Bu döngü de tüm Axios versiyonlarını 1.13.4 ve CVSS derecelendirmelerine etkiler 7.5 (yüksek risk)Bilmiyorum. Ön uç veya Node.js geliştirici iseniz hemen kontrol ve yükseltme!

Boşluklara Genel Bakış

Alanlar	Detaylar
CVE ID	CVE-2026-25639
Extent	Yüksek risk (CVSS 7.5)
Etkilenen paketler	axios (npm)
Etkilenen sürüm	<= 1.13.4
Etki Etkisi	Deny servisi (server Kaza)
Saldırı vektörü	Network (remote)
Fix Version	1.13.5

Bu iyi bir fikir.

döngü deliği Axios'da mevcuttur MergeConfig işleviAncak bu işlev farklı yapılandırma nesneleri konsolide eder. Function Processing Contains Proto proto nesne anahtar olarak yapılandırıldığında, uygulama çökerleri.

Saldırı akışı

• Axios Tembel, Merge'ye Yapın Özellikler
• Saldırgan içerir __proto__ Mali
• Axios bir birleşme politikası bulmaya çalıştı, ancak beklenmedik bir şekilde geldi Object.prototype
• Kod prototipi bir işlev olarak adlandırmaya çalışır
• Çünkü Object.prototype Bu bir nesne, bir işlev değil. Onu atlayın. TypeError
• Uygulama çökerleri anında anında

Saldırı örneği

Saldırgan sadece sunucuyu bozmak için para yükü gönderdi:

{"__proto__": {"x": 1}}

Saldırıya basit bir yol.Düşük saldırı karmaşıklığıPuanlar, ama çok zararlı.

Saldırı sahnesi.

Bu döngü de aşağıdaki uygulamalara özeldir:

• Kabul Kabul Kabul KabulKullanıcı GirişiUygulama (e.g. JSON vücut)
• Use Use Use Use Use Use JSON.parse() Geri giriş
• Bir parsed nesneyi Axios konfigürasyonuna (örneğin g. axios.get(url, userConfig)Emin değilim.

Bu koşulların uygulanması saldırıya uğrama riski altındadır.Kötü niyetli bir istek tüm hizmete izin verecektir. Line Line LineTüm kullanıcıları etkiler.

Prototip kirliliğinden kaçının

Dikkate ihtiyaç duyulan şey bu döngü deliğidir.Geleneksel prototip kirliliği döngüden farklı.Bilmiyorum. Geleneksel prototip kirliliğinde, saldırganlar nesne prototipini değiştirerek diğer nesneleri etkiler ve bu döngüde,Özelliklerin kontamine edilmesinden önce yapılan başvuru.Bilmiyorum.

Bu çöküş mekanizması saldırıyı daha doğrudan ve ölümcül hale getiriyor -Karmaşık bir kullanım zinciri olmadan, bitti.Bilmiyorum.

Rehabilitasyon programı

Yükselt Now

Axios, resmi. Version 1.13.53.5 Diğer Organiser __proto__ Tür hataları önlemek için anahtar.

Yükseltme için npm kullanın:

npm update axios

Yükseltme için ip kullanın:

yarn upgrade axios

Check current version:

npm list axios

Kimlik doğrulama düzeltmeleri

Paketin axios versiyonunun olmasını sağlamak için yükseltme:

"axios": ">=1.13.5"

• Etkisinin Kapsamı

Axios JavaScript ekosistemlerinde en popüler HTTP müşteri bankalarından biridir ve dünyadaki en popüler HTTP müşteri bankasıdır.Haftada 50 milyondan fazla indirme.Bilmiyorum. Bu döngü deliğin geniş kapsamlı etkileri vardır:

• Frontend: Axios Vue, React, Angular uygulama
• Node.js BackendAxios kullanarak Service-end uygulama
• Mikroservice mimarisiDiğer Organiser
• Enterprise applications: Çok sayıda işletme sistemi Axios'a güveniyor

Nasıl?

1. bağımlı versiyonların incelenmesi

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Güvenlik tarama araçları kullanın

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Güvenlik tavsiyesi

• Yükselt Now: Axios < = 1.13.4 kullanan tüm projeler hemen 1.13.5'a yükseltilir
• Denetime güven: Tüm proje, eski sürümlerin dolaylı olarak tanıtılmamasını sağlamak için bağımlılıkları kontrol edin
• Giriş Kimlik Doğrulama: Kullanıcı girişinin doğrudan girişten yapılandırma nesnesine girişten kaçınmak için geçerliliği
• Güvenlik uyarısı.: gelişmiş sunucu gözetimi ve anormal arızaların zamanında tespiti
• Güvenlik testiPotansiyel boşlukları tespit etmek için düzenli güvenlik testleri

Özet Özet Özet Özet

CVE-2026-25639, Axios kütüphanesinden biridirYüksek riskli hizmet boşluklarının reddedilmesiVe saldırganlar Node.js sunucusu, sadece kötü niyetli JSON nesneleri tarafından anında çökebilir. Bu döngü de geniş kapsamlı bir etkiye sahiptir ve son derece zararlıdır.

Geliştiriciler olarak, dikkatli olmalıyız.• Zamanlı bağımlılık, kullanıcı girişinin geçerliliği, gelişmiş güvenlik testleri. Güvenlik, görünüşte basit bir yapılandırma birleşik işlevi, aynı zamanda bir lethal giriş noktası olabilir.

Hala axios < = 1.13.4 kullanıyorsanız,Lütfen hemen 1.13.5'e yükseltin.Uygulamalarınızı ve kullanıcılarınızı koruyun!

Endişelenecek bir şey değil.