CVE-2026-101906 in Axios
Zusammenfassung
von VulDB • 28.09.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 1.15.0 bis 1.20.0 wendet Axios bei `shouldBypassProxy` einen regulären Ausdruck mit quadratischer Backtracking-Eigenschaft (quadratic trailing-dot regular expression) zur Umleitung von Hostnamen an. Wenn HTTP_PROXY oder HTTPS_PROXY konfiguriert ist, NO_PROXY oder no_proxy nicht leer ist, Weiterleitungen (Redirects) gefolgt werden und ein manipulierter Redirect-Location viele Punkte gefolgt von einem Nicht-Punkt-Zeichen enthält, führt `Hostname.replace(/.+$/, '')` zu quadratischem Backtracking bei der Verarbeitung des manipulierten Hostnamens. Die synchrone Verarbeitung regulärer Ausdrücke kann den Node.js Event Loop blockieren und einen Denial-of-Service (DoS) verursachen. Dieses Problem wurde in Version 1.20.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.