CVE-2026-101906 in Axios
Tóm tắt
Bởi VulDB • 28/09/2026
Axios là một thư viện HTTP dựa trên promise dành cho trình duyệt và Node.js. Từ phiên bản 1.15.0 đến 1.20.0, Axios sử dụng biểu thức chính quy (regular expression) có độ phức tạp bậc hai đối với dấu chấm ở cuối để xử lý việc chuyển hướng tên máy chủ khi `shouldBypassProxy` được áp dụng. Khi cấu hình HTTP_PROXY hoặc HTTPS_PROXY, NO_PROXY hoặc no_proxy không rỗng, các yêu cầu chuyển hướng được theo dõi và một tiêu đề Location trong phản hồi chuyển hướng do kẻ tấn công tạo ra chứa nhiều dấu chấm tiếp theo là một ký tự khác dấu chấm, thì hàm `Hostname.replace(/.+$/, '')` sẽ gây ra hiện tượng backtracking bậc hai khi xử lý tên máy chủ của đường dẫn chuyển hướng này. Việc xử lý biểu thức chính quy đồng bộ có thể làm tắc luồng sự kiện (event loop) của Node.js và gây ra tình trạng từ chối dịch vụ (DoS). Vấn đề này đã được khắc phục trong phiên bản 1.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.