CVE-2026-42034
MediumSummary
Axios to klient HTTP oparty na obietnicach dla przeglądarki i Node.js. W wersjach przed 1.15.1 i 0.31.1, dla ciał żądań strumieniowych, limit maxBodyLength jest omijany, gdy maxRedirects jest ustawione na 0, co pozwala na przesyłanie zbyt dużych danych nawet przy ustawionych surowych limitach ciała.
Risk Assessment
Organizacja może być narażona na przesyłanie nieautoryzowanych lub zbyt dużych danych, co może prowadzić do problemów z wydajnością lub bezpieczeństwem aplikacji.
Recommendation
Zaleca się aktualizację Axios do wersji 1.15.1 lub 0.31.1 lub nowszej, aby zlikwidować tę podatność i zapewnić odpowiednie ograniczenia dla przesyłanych danych.
Original NVD description (English source)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, for stream request bodies, maxBodyLength is bypassed when maxRedirects is set to 0 (native http/https transport path). Oversized streamed uploads are sent fully even when the caller sets strict body limits.