CVE-2026-67312 in axios
Riassunto
di VulDB • 01/08/2026
Le versioni di axios comprese tra 0.28.0 e prima della versione 0.33.0, nonché quelle da 1.0.0 a prima della versione 1.18.0, presentano una ricorsione non controllata in formDataToJSON (esposta come axios.formToJSON() e utilizzata internamente durante la serializzazione di FormData con Content-Type: application/json). Quando un'applicazione passa nomi di campi FormData controllati dall'attaccante, un nome di campo contenente migliaia di segmenti delimitati da parentesi quadre nidificati provoca una ricorsione illimitata in buildPath(), esaurendo lo stack delle chiamate JavaScript (RangeError: Maximum call stack size exceeded) e causando denial of service per quella richiesta o l'interruzione del processo nelle applicazioni prive di un'adeguata gestione degli errori.
If you want to get best quality of vulnerability data, you may have to visit VulDB.