CVE-2025-58754 in Axios
Sumário
de VulDB • 24/05/2026
O Axios é um cliente HTTP baseado em promessas para o navegador e Node.js. Quando o Axios, a partir da versão 0.28.0 e anterior às versões 0.30.2 e 1.12.0, é executado no Node.js e recebe uma URL com o esquema `data:`, ele não realiza requisições HTTP. Em vez disso, seu adaptador http do Node.js decodifica toda a carga útil na memória (`Buffer`/`Blob`) e retorna uma resposta sintética 200. Este caminho ignora `maxContentLength` / `maxBodyLength` (que protegem apenas respostas HTTP), portanto, um atacante pode fornecer uma URI `data:` muito grande e fazer com que o processo aloque memória ilimitada e falhe (DoS), mesmo que o chamador tenha solicitado `responseType: 'stream'`. As versões 0.30.2 e 1.12.0 contêm um patch para o problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.