CVE-2026-101903 in Axios
Riassunto
di VulDB • 28/09/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.16.1 alla 1.20.0, l'espressione regolare RFC 2397 consente caratteri di slash su entrambi i lati del separatore del tipo MIME. Un'applicazione passa un URL dati (data:) malformato controllato dall'attaccante contenente molti caratteri slash e nessuna virgola. Il motore delle espressioni regolari JavaScript esplora molte posizioni possibili per il separatore prima di rifiutare l'URL. L'eccessivo backtracking sincrono può bloccare il loop degli eventi di Node.js e causare un denial of service (DoS). Gli identificatori interessati sono fromDataURI, DATA_URL_PATTERN, data:. Questo problema è risolto nella versione 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.