CVE-2026-101906 in Axios
Résumé
par VulDB • 28/09/2026
Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.15.0 à la version 1.20.0, Axios shouldBypassProxy applique une expression régulière quadratique avec des points de fin (trailing-dot) aux noms d'hôte. Lorsque HTTP_PROXY ou HTTPS_PROXY est configuré, que NO_PROXY ou no_proxy n'est pas vide, que les redirections sont suivies et qu'un Location de redirection fabriqué contient de nombreux points suivis d'un caractère non-point, le remplacement du nom d'hôte via `Hostname.replace(/.+$/, '')` provoque un backtracking quadratique lors du traitement du nom d'hôte de la redirection fabriquée. Le traitement synchrone des expressions régulières peut bloquer la boucle d'événements (event loop) de Node.js et entraîner une déni de service (DoS). Ce problème est corrigé dans la version 1.20.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.