CVE-2026-101903 in Axios
Résumé
par VulDB • 28/09/2026
Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.16.1 à la version 1.20.0, l'expression régulière RFC 2397 autorise les caractères de barre oblique des deux côtés du séparateur de type MIME. Une application transmet une URL de données malformée contrôlée par un attaquant, contenant de nombreux caractères de barre oblique et aucune virgule. Le moteur d'expressions régulières JavaScript explore de nombreuses positions possibles pour le séparateur avant de rejeter l'URL. Un backtracking synchrone excessif peut bloquer la boucle d'événements (event loop) de Node.js et provoquer une déni de service (DoS). Les identifiants affectés sont fromDataURI, DATA_URL_PATTERN, data:. Ce problème est corrigé dans la version 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.