CVE-2026-101903 in Axios
요약
\~에 의해 VulDB • 2026. 09. 28.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 버전 1.16.1부터 1.20.0까지 RFC 2397 정규식은 미디어 타입 구분자 양쪽에 슬래시 문자를 허용합니다. 공격자가 제어하는 잘못된 데이터 URL(많은 슬래시 문자와 쉼표 없음)을 애플리케이션에 전달하면, JavaScript 정규식 엔진이 URL을 거부하기 전에 다양한 구분자 위치를 탐색하게 됩니다. 이로 인해 동기화된 과도한 백트래킹(backtracking)이 발생하여 Node.js 이벤트 루프가 차단되고 서비스 거부(Denial of Service) 상태가 초래될 수 있습니다. 영향을 받는 식별자는 fromDataURI, DATA_URL_PATTERN, data:입니다. 이 문제는 버전 1.20.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.