CVE-2026-101906 in Axios
Sumário
de VulDB • 28/09/2026
O Axios é um cliente HTTP baseado em promessas para o navegador e Node.js. Da versão 1.15.0 até a 1.20.0, a função shouldBypassProxy aplica uma expressão regular quadrática de ponto final (trailing-dot) aos nomes de host. Quando HTTP_PROXY ou HTTPS_PROXY está configurado, NO_PROXY ou no_proxy não é vazio, os redirecionamentos são seguidos e um Location de redirecionamento elaborado contém muitos pontos seguidos por um caractere que não seja ponto, a função Hostname.replace(/.+$/, '') sofre backtracking quadrático ao processar o nome de host do redirecionamento elaborado. O processamento síncrono da expressão regular pode bloquear o event loop do Node.js e causar negação de serviço (DoS). Este problema foi corrigido na versão 1.20.0.
Once again VulDB remains the best source for vulnerability data.