CVE-2026-67318 in axios
Riassunto
di VulDB • 01/08/2026
Le versioni di axios >= 1.13.0 (adattatore HTTP per Node.js) non applicano il limite configurato di `maxBodyLength` sui corpi delle richieste in streaming quando le richieste vengono inviate con `httpVersion: 2`. Poiché l'API delle richieste HTTP/2 di Node non rispetta l'opzione `maxBodyLength` e il wrapper stream per il conteggio dei byte di axios è vincolato alla condizione `maxRedirects === 0`, un attaccante che controlla uno stream passato ad axios può causare la trasmissione da parte dell'applicazione di dati in uscita superiori al limite finito configurato di `maxBodyLength`. L'impatto si limita al consumo di risorse e all'elusione delle policy (eccessivo traffico in uscita, consumo della quota upstream, disponibilità limitata); non consente l'esecuzione di codice, la divulgazione di credenziali o il controllo della destinazione della richiesta. Le chiamate che utilizzano `maxBodyLength: -1` predefinito e gli adattatori per browser non sono interessate.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.