CVE-2026-67312 in axios
要約
〜によって VulDB • 2026年08月01日
axiosのバージョン0.28.0から0.33.0未満、および1.0.0から1.18.0未満には、formDataToJSON（axios.formToJSON()として公開され、Content-Type: application/jsonでFormDataをシリアライズする際に内部で使用される）における制御されない再帰処理が含まれています。アプリケーションが攻撃者が操作可能なFormDataのフィールド名を渡すと、数千個のネストされた角括弧区切りセグメントを持つフィールド名によりbuildPath()内で無制限な再帰が発生し、JavaScriptコールスタックが枯渇します（RangeError: Maximum call stack size exceeded）。これにより、そのリクエストに対するサービス拒否（DoS）を引き起こすか、適切なエラーハンドリングがないアプリケーションではプロセスの終了を招きます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.