CVE-2026-42037
Təsvir
Axios brauzer və Node.js üçün promise əsaslı HTTP klientidir. 1.0.0 versiyasından 1.15.1 versiyasına qədər olan hissədə, lib/helpers/formDataToStream.js faylındakı FormDataPart konstruktoru CRLF (\r\n) ardıcıllıqlarını təmizləmədən value.type dəyərini hər bir multipart hissəsinin Content-Type başlığına birbaşa daxil edir. Blob/File bənzəri obyektin .type xüsusiyyətini idarə edən hücumçu (məsələn, Node.js proksi xidmətində istifadəçi tərəfindən yüklənmiş fayl vasitəsilə) multipart form-data gövdəsinə ixtiyari MIME hissə başlıqları yerləşdirə bilər. Bu, Node.js v18+ daxili başlıq mühafizəsini yan keçir, çünki inyeksiya HTTP sorğu başlıqlarını deyil, multipart gövdə strukturunu hədəf alır. Bu zəiflik 1.15.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- axios axios1.15.1 və ya daha yeni versiya
- axios1.15.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| axios axios | 1.0.0 ≤ v < 1.15.1 | 1.15.1 |
| axiosnpm | 1.0.0 ≤ v < 1.15.1 | 1.15.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.