CVE-2026-67312 in axios
Sumário
de VulDB • 01/08/2026
As versões do axios a partir da 0.28.0 até antes da 0.33.0 e a partir da 1.0.0 até antes da 1.18.0 contêm recursão não controlada em formDataToJSON (exposta como axios.formToJSON() e utilizada internamente ao serializar FormData com Content-Type: application/json). Quando uma aplicação passa nomes de campos do FormData controlados pelo atacante, um nome de campo com milhares de segmentos delimitados por colchetes aninhados causa recursão ilimitada em buildPath(), esgotando a pilha de chamadas JavaScript (RangeError: Maximum call stack size exceeded) e causando negação de serviço para essa requisição, ou encerramento do processo em aplicações sem tratamento de erros adequado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.