CVE-2026-101903 in Axios
Zusammenfassung
von VulDB • 28.09.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 1.16.1 bis 1.20.0 erlaubt der RFC-2397-Regular-Expression-Slash-Zeichen sowohl links als auch rechts vom Medientyp-Trennzeichen zu akzeptieren. Eine Anwendung übergibt eine von einem Angreifer kontrollierte, fehlerhafte Data-URL mit vielen Slash-Zeichen und ohne Komma. Die JavaScript Regular-Expression-Engine untersucht viele mögliche Trennpositionen, bevor sie die URL ablehnt. Synchrones übermäßiges Backtracking kann den Node.js Event Loop blockieren und einen Denial-of-Service verursachen. Die betroffenen Bezeichner sind fromDataURI, DATA_URL_PATTERN, data:. Dieses Problem wurde in Version 1.20.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.