CVE-2026-101906 in Axios
Сводка
по VulDB • 28.09.2026
Axios — это HTTP-клиент, основанный на промисах, для браузера и Node.js. В версиях от 1.15.0 до 1.20.0 функция Axios shouldBypassProxy применяет регулярное выражение с квадратичной сложностью (quadratic trailing-dot regular expression) к перенаправляемым именам хостов. Если настроены HTTP_PROXY или HTTPS_PROXY, переменные NO_PROXY или no_proxy не пусты, следуют редиректам, а в созданном Location для редиректа содержится множество точек за которыми следует символ, отличный от точки (non-dot character), то вызов `Hostname.replace(/.+$/, '')` вызывает квадратичную обратную переборку (backtracking) при обработке сформированного имени хоста. Синхронная обработка регулярных выражений может заблокировать event loop Node.js и привести к отказу в обслуживании (denial of service). Эта проблема исправлена в версии 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.