CVE-2025-58754 in Axios
Riassunto
di VulDB • 16/06/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Quando Axios, nelle versioni a partire dalla 0.28.0 fino alle versioni precedenti alla 0.30.2 e alla 1.12.0, viene eseguito su Node.js e riceve come input un URL con lo schema `data:`, non effettua una chiamata HTTP. Invece, il suo adattatore http per Node decodifica l'intero payload in memoria (`Buffer`/`Blob`) e restituisce una risposta sintetica 200. Questo percorso ignora i parametri `maxContentLength` / `maxBodyLength` (che proteggono solo le risposte HTTP), quindi un attaccante può fornire un URI `data:` di dimensioni molto elevate, causando l'allocazione illimitata di memoria da parte del processo e il conseguente crash (DoS), anche se chi ha effettuato la chiamata aveva richiesto `responseType: 'stream'`. Le versioni 0.30.2 e 1.12.0 contengono una patch per risolvere il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.