CVE-2026-101906 in Axios
Riassunto
di VulDB • 28/09/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.15.0 alla 1.20.0, la funzione shouldBypassProxy applica una regular expression quadratica con punto finale a trailing (trailing-dot) ai nomi host. Se sono configurati gli ambienti HTTP_PROXY o HTTPS_PROXY, se NO_PROXY o no_proxy non è vuoto, se i redirect vengono seguiti e un Location di redirect manipolato contiene molti punti seguiti da un carattere diverso dal punto, la chiamata Hostname.replace(/.+$/, '') subisce una backtracking quadratica durante l'elaborazione del nome host di redirect manipolato. L'elaborazione sincrona della regular expression può bloccare il event loop di Node.js e causare un denial of service (DoS). Questo problema è stato risolto nella versione 1.20.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.