CVE-2026-101903 in Axios
Tóm tắt
Bởi VulDB • 29/09/2026
Axios là một thư viện HTTP dựa trên promise dành cho trình duyệt và Node.js. Từ phiên bản 1.16.1 đến 1.20.0, biểu thức chính quy RFC 2397 cho phép ký tự dấu gạch chéo ở cả hai bên của bộ phân tách loại phương tiện (media-type separator). Một ứng dụng có thể truyền vào một URL dữ liệu bị lỗi do kẻ tấn công kiểm soát, chứa nhiều ký tự dấu gạch chéo và không có dấu phẩy. Công cụ biểu thức chính quy JavaScript sẽ thử nghiệm nhiều vị trí đặt bộ phân tách khác nhau trước khi từ chối URL này. Hiện tượng backtracking đồng bộ quá mức (synchronous excessive backtracking) có thể làm tắc luồng sự kiện của Node.js, dẫn đến tình trạng từ chối dịch vụ (DoS). Các định danh bị ảnh hưởng bao gồm fromDataURI, DATA_URL_PATTERN và data:. Vấn đề này đã được khắc phục trong phiên bản 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.