CVE-2026-101906 in Axios
要約
〜によって VulDB • 2026年09月28日
Axiosは、ブラウザおよびNode.js向けのPromiseベースのHTTPクライアントです。バージョン1.15.0から1.20.0の間、`shouldBypassProxy`関数はリダイレクト先のホスト名に対して二次的な後方一致ドット正規表現を適用していました。`HTTP_PROXY`または`HTTPS_PROXY`が設定され、`NO_PROXY`または`no_proxy`が空ではなく、リダイレクトが追跡される場合、また、不正に作成されたリダイレクトのLocationヘッダーに多くのドットの後に非ドット文字が続くようなケースにおいて、`Hostname.replace(/.+$/, '')`による処理で正規表現のパース時に二次的なバックトラックが発生します。この同期型の正規表現処理によりNode.jsのイベントループがブロックされ、サービス拒否（DoS）を引き起こす可能性があります。本問題はバージョン1.20.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.