CVE-2026-67318
Açıklama
axios versiyonları >=1.13.0 (Node.js HTTP adaptörü), istekler httpVersion: 2 ile gönderildiğinde akışlı (streamed) istek gövdeleri üzerinde yapılandırılmış maxBodyLength sınırını uygulamada başarısız olur. Node'un HTTP/2 istek API'si maxBodyLength seçeneğine uymadığı ve axios'un bayt sayan akış sarmalayıcısı maxRedirects === 0 koşuluna bağlı olduğu için, axios'a iletilen bir akışı kontrol eden saldırgan, uygulamanın yapılandırılmış sonlu maxBodyLength değerini aşan giden veriler iletmesine neden olabilir. Etki, kaynak tüketimi ve politika ihlali (aşırı çıkış trafiği, üst akış kotası tüketimi, sınırlı kullanılabilirlik) ile sınırlıdır; kod çalıştırma, kimlik bilgisi ifşası veya istek hedefi kontrolüne olanak tanımaz. Varsayılan maxBodyLength: -1 kullanan çağrılar ve tarayıcı adaptörleri etkilenmemektedir.
Nasıl düzeltilir
- axios axios1.18.0 ya da sonraki bir sürüm
- axios1.18.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| axios axios | 1.13.0 ≤ v < 1.18.0 | 1.18.0 |
| axiosnpm | 1.13.0 ≤ v < 1.18.0 | 1.18.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.