Axios, một ngân hàng nổi tiếng, đã bị đầu độc! CVE-26-25639 Những lỗ hổng rủi ro cao có thể gây ra sự hỏng hóc của máy chủ Node.js

Vào tháng 2 năm 2026, JavaScript phải đương đầu với khủng hoảng an ninh nghiêm trọng!Thư viện khách hàng HTTP nổi tiếng Axios được phát hiện có một khoảng cách an ninh rủi ro cao CVE-26-25639Lỗ hổng này cho phép những kẻ tấn công từ xa kích hoạt cuộc tấn công từ chối dịch vụ (DoS) bằng cách gửi một yêu cầu độc hại duy nhất, dẫn đến sự sụp đổ đột ngột của máy phục vụ Node.js. Lỗ hổng này ảnh hưởng đến tất cả các phiên bản Axios tới 1.13.4 và tỷ lệ theo CNSS 7, 5 (rất mạo hiểm)Tôi không biết. Kiểm tra và nâng cấp ngay lập tức nếu bạn là tiền vệ hoặc node.js phát triển!

Toàn cảnh khoảng trống

Trường	Chi tiết
ID CVE	CVE-26-25639
Mở rộng	Nguy hiểm cao (CVSS 7. 5)
Các gói ảnh hưởng	axios (npm)
Phiên bản đã tác động	<= 1.13.4
Ảnh hưởng	Dịch vụ từ chối (sự sụp đổ máy chủ)
Tới véc- tơ	Mạng (remote)
Sửa phiên bản	1.13.5

Ý hay đấy.

Lỗ hổng tồn tại ở Axios Chức năng trộn thưChức năng này củng cố các đối tượng cấu hình khác nhau. Khi quá trình xử lý hàm chứa proto Khi đối tượng được cấu hình là một phím, ứng dụng sẽ sụp đổ.

Name

• Mặc định Axios Chạy qua thuộc tính cấu hình để trộn chúng
• Kẻ tấn công bao gồm __proto__ Phản đối dữ dội
• Axios cố gắng tìm một chính sách hợp nhất, nhưng bất ngờ nhận được Object.prototype
• Mã cố gọi nguyên mẫu là một chức năng
• Bởi vì Object.prototype Đó là một đối tượng, không phải một chức năng. Ném đi. TypeError
• Comment

Ví dụ về sự tấn công

Người tấn công chỉ đơn giản là gửi số hàng để phá hủy máy chủ:

{"__proto__": {"x": 1}}

Đó là một cách đơn giản để tấn công.Sự phức tạp về tấn công thấpĐánh giá, nhưng rất nguy hiểm.

Cảnh tấn công.

Lỗ hổng này đặc trưng cho các ứng dụng sau:

• Chấp nhậnĐầu vào điều khiển người dùngỨng dụng (v. d. JSON body)
• Dùng JSON.parse() Nhập
• Nhập một đối tượng đã phân tích vào cấu hình Axios (v. d. axios.get(url, userConfig)Tôi không chắc.

Việc áp dụng những điều kiện này có nguy cơ bị tấn công.Một yêu cầu hiểm độc sẽ cho phép toàn bộ dịch vụ. ĐườngNó ảnh hưởng đến mọi người dùng.

Phân biệt từ ô nhiễm nguyên mẫu

Cái cần chú ý là lỗ hổng này.Khác với lỗ hổng ô nhiễm truyền thống.Tôi không biết. Trong sự ô nhiễm nguyên mẫu truyền thống, những kẻ tấn công ảnh hưởng đến các đối tượng khác bằng cách thay đổi mẫu vật, và trong lỗ hổng này,Ứng dụng bị lỗi trước khi các tính chất bị nhiễm bẩn.Tôi không biết.

Cơ chế sụp đổ này khiến cuộc tấn công trở nên trực tiếp và nguy hiểm hơn —Không có chuỗi đo đạc phức tạp, nó sẽ kết thúc.Tôi không biết.

Chương trình phục hồi

Nâng cấp ngay

Axios, chính thức. Phiên bản 1.13.5 Bộ quản lý khác __proto__ phím để ngăn chặn lỗi kiểu.

Dùng npm để nâng cấp:

npm update axios

Dùng chỉ để nâng cấp:

yarn upgrade axios

Kiểm tra phiên bản hiện thời:

npm list axios

Xác thực

Nâng cấp để đảm bảo rằng phiên bản axios của gói.json là:

"axios": ">=1.13.5"

• Phạm vi tác động

Axios là một trong những ngân hàng khách hàng nổi tiếng nhất HTTP trong hệ sinh thái JavaScript, và đó là ngân hàng khách hàng HTTP nổi tiếng nhất thế giới.Hơn 50 triệu lượt tải về mỗi tuần.Tôi không biết. Lỗ hổng này có liên quan rộng rãi:

• Giao diện: Dùng Axios Vue, Phản ứng, ứng dụng góc
• Hậu phương nútỨng dụng kết thúc dịch vụ bằng Axios
• Kiến trúc vi dịch vụBộ quản lý khác
• Ứng dụng Enterprise: Một số lớn hệ thống kinh doanh dựa trên Axios

Bằng cách nào?

1. Xem xét phiên bản phụ thuộc

# 检查项目中的 axios 版本
npm list axios

# 或查看 package.json
cat package.json | grep axios

2. Dùng công cụ quét bảo mật

# 使用 npm audit
npm audit

# 使用 Snyk
snyk test

Lời khuyên an toàn

• Nâng cấp ngay: Tất cả các dự án sử dụng axios < = 1.13.4. được nâng cấp ngay lập tức lên 1.13.5.
• Tin cậy thính giác: kiểm tra mọi phụ thuộc của dự án để đảm bảo rằng phiên bản cũ không được giới thiệu gián tiếp
• Xác thực nhập: Khả năng hợp lệ hoá nhập của người dùng để tránh mục nhập trực tiếp vào đối tượng cấu hình
• Báo động an ninh.: tăng cường giám sát máy phục vụ và phát hiện đúng lúc các lỗi bất thường
• Kiểm tra bảo mậtName

Tóm tắt

CVE-26-25639 là một trong những thư viện AxiosNameVà những kẻ tấn công có thể làm cho máy chủ Node.js sụp đổ ngay tức khắc bằng những vật thể JSON độc ác. Lỗ hổng này có tác động rộng và rất nguy hiểm.

Là những nhà phát triển, chúng ta phải cảnh giác.• Cập nhật quan hệ phụ thuộc một cách đúng lúc, xác nhận việc nhập dữ liệu của người dùng, tăng cường kiểm tra an ninh. Sự an toàn, một cấu trúc có vẻ đơn giản kết hợp chức năng, cũng có thể là một điểm vào chết người.

Nếu bạn vẫn còn sử dụng axios < = 1.13.4,Xin vui lòng nâng cấp ngay lập tức lên 1.13.5.Bảo vệ ứng dụng và người dùng của bạn!

Không có gì phải lo lắng.