CVE-2026-42036
ŚrednieStreszczenie
Axios, klient HTTP oparty na obietnicach dla przeglądarki i Node.js, przed wersjami 1.15.1 i 0.31.1, nie egzekwował limitu maxContentLength dla strumieni odpowiedzi, gdy używano responseType: 'stream'. To pozwala na ominięcie skonfigurowanych limitów rozmiaru odpowiedzi.
Ocena ryzyka
Brak egzekwowania limitów rozmiaru odpowiedzi może prowadzić do niekontrolowanego zużycia zasobów, co może wpłynąć na wydajność aplikacji oraz bezpieczeństwo systemu.
Rekomendacja
Zaleca się aktualizację Axios do wersji 1.15.1 lub 0.31.1 lub nowszej, aby zapewnić egzekwowanie limitów rozmiaru odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, when responseType: 'stream' is used, Axios returns the response stream without enforcing maxContentLength. This bypasses configured response-size limits and allows unbounded downstream consumption. This vul