p PatchFirst

CVE-2026-67312

CVE-2026-67312 · axios 0.28.0 before 0.33.0 Denial of Service via formToJSON

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

axios versions from 0.28.0 before 0.33.0 and from 1.0.0 before 1.18.0 contain uncontrolled recursion in formDataToJSON (exposed as axios.formToJSON() and used internally when serializing FormData with Content-Type: application/json). When an application passes attacker-controlled FormData field names, a field name with thousands of nested bracket-delimited segments causes unbounded recursion in buildPath(), exhausting the JavaScript call stack (RangeError: Maximum call stack size exceeded) and causing denial of service for that request, or process termination in applications without appropriate error handling.

CVSS 6.3 · Средний · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • axios

    Версии
    • ≥ 0.28.0, < 0.33.0: Затронуто (semver)
    • 0.33.0: Не затронуто (semver)

    Обновитесь до 0.33.0

  • axios

    Версии
    • ≥ 1.0.0, < 1.18.0: Затронуто (semver)
    • 1.18.0: Не затронуто (semver)

    Обновитесь до 1.18.0

  • node-axios Debian:12

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    • 1.2.1+dfsg-1
    • 1.2.1+dfsg-1+deb12u1
    • 1.20.0-1
    • 1.5.1+dfsg-1
    • 1.6.2+dfsg-1
    • 1.6.8+dfsg-1
    • 1.6.8+dfsg-2
    • 1.7.3+dfsg-1
    • 1.7.4+dfsg-1
    • 1.7.7+dfsg-1
    • 1.7.9+dfsg-1
    • 1.8.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Debian:13

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    • 1.20.0-1
    • 1.8.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Debian:14

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.8.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.18.0-1

    Обновитесь до 1.18.0-1

  • axios npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 0.28.0, < 0.33.0

    Обновитесь до 0.33.0

  • axios npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 1.0.0, < 1.18.0

    Обновитесь до 1.18.0

  • node-axios Ubuntu:Pro:20.04:LTS

    Версии
    • 0.19.0+dfsg-2
    • 0.19.0+dfsg-2ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Ubuntu:Pro:22.04:LTS

    Версии
    • 0.21.1+dfsg-1
    • 0.23.0+dfsg-2
    • 0.24.0+dfsg-1
    • 0.25.0+dfsg-2
    • 0.26.0+dfsg-1
    • 0.26.0+dfsg-1ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Ubuntu:Pro:24.04:LTS

    Версии
    • 1.2.1+dfsg-1
    • 1.5.1+dfsg-1
    • 1.6.2+dfsg-1
    • 1.6.8+dfsg-2
    • 1.6.8+dfsg-2ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Ubuntu:Pro:26.04:LTS

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.2+dfsg-1build1
    • 1.13.2+dfsg-1ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →