Към съдържанието
Търсене

CVE-2026-67312: axios, отказ на услуга

6.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

axios versions from 0.28.0 before 0.33.0 and from 1.0.0 before 1.18.0 contain uncontrolled recursion in formDataToJSON (exposed as axios.formToJSON() and used internally when serializing FormData with Content-Type: application/json). When an application passes attacker-controlled FormData field names, a field name with thousands of nested bracket-delimited segments causes unbounded recursion in buildPath(), exhausting the JavaScript call stack (RangeError: Maximum call stack size exceeded) and causing denial of service for that request, or process termination in applications without appropriate error handling.

Засегнати продукти

  • axios axios: 0.28.0 преди 0.33.0; 0.33.0
  • axios axios: 1.0.0 преди 1.18.0; 1.18.0

Вид слабост

История

  • 1 август 2026 Публикувано

Други уязвимости в axios axios

Първоизточници

CVE-2026-67312: axios, отказ на услуга | freedomonline.bg