Уязвимости AxiosAxios: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-1018992026-10-13

  Axios: CIDR-form NO_PROXY entries are ignored, causing proxy exclusion bypass for internal IP ranges

  Затронутые версии: >= 1.15.0, < 1.20.0

  средняя 6.9

  Исправлено в: 1.20.0

• CVE-2026-1019092026-09-28

  Axios: Prototype Pollution Gadget in axios toFormData Options

  Затронутые версии: >= 0.28.0, < 0.34.0 · >= 1.15.1, < 1.20.0

  высокая 8.3

  Исправлено в: 0.34.0, 1.20.0

• CVE-2026-1019082026-09-28

  Axios: Prototype pollution gadget in fetch adapter can alter outbound requests

  Затронутые версии: >= 1.7.0, < 1.20.0

  средняя 6.9

  Исправлено в: 1.20.0

• CVE-2026-1019072026-09-28

  Axios: maxRedirects: 0 is not enforced by the fetch adapter, allowing redirect-based SSRF

  Затронутые версии: >= 1.17.0, < 1.20.0

  высокая 7.0

  Исправлено в: 1.20.0

• CVE-2026-1019062026-09-28

  Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

  Затронутые версии: >= 1.15.0, < 1.20.0

  высокая 8.2

  Исправлено в: 1.20.0

• CVE-2026-1019052026-09-28

  Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection

  Затронутые версии: >= 1.15.2, < 1.20.0

  высокая 7.6

  Исправлено в: 1.20.0

• CVE-2026-1019042026-09-28

  Axios: Header Injection via Inherited headers After Minimal Interceptor

  Затронутые версии: >= 1.0.0, < 1.20.0

  средняя 6.9

  Исправлено в: 1.20.0

• CVE-2026-1019032026-09-28

  Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)

  Затронутые версии: >= 1.16.1, < 1.20.0

  высокая 8.2

  Исправлено в: 1.20.0

• CVE-2026-1019022026-09-28

  Axios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method

  Затронутые версии: >= 0.27.2, < 0.34.0 · >= 1.0.0, < 1.20.0

  средняя 6.9

  Исправлено в: 0.34.0, 1.20.0

• CVE-2026-1019012026-09-28

  Axios: Denial of Service via Unhandled 'error' Event in HTTP/2 ClientHttp2Session Initialization

  Затронутые версии: >= 1.13.0, < 1.20.0

  высокая 8.2

  Исправлено в: 1.20.0

• CVE-2026-1019002026-09-28

  Axios: Fetch Adapter Header Injection via Inherited FormData getHeaders

  Затронутые версии: >= 1.12.0, < 1.20.0

  средняя 6.9

  Исправлено в: 1.20.0

• CVE-2026-1018982026-09-28

  Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls

  Затронутые версии: >= 1.13.0, < 1.20.0

  высокая 7.0

  Исправлено в: 1.20.0

• CVE-2026-673212026-08-01

  axios 0.31.1 before 0.33.0 and 1.15.1 before 1.18.0 Denial of Service via maxDepth bypass

  Затронутые версии: >= 0.31.1, < 0.33.0 · >= 1.15.1, < 1.18.0

  средняя 6.9

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-673202026-08-01

  axios before 0.33.0 Prototype Pollution via Node HTTP adapter

  Затронутые версии: >= 0.31.1, < 0.33.0 · >= 1.15.2, < 1.18.0

  высокая 8.3

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-673192026-08-01

  axios before 0.33.0 Prototype Pollution via nested option objects

  Затронутые версии: >= 0.8.0, < 0.33.0 · >= 1.0.0, < 1.18.0

  средняя 6.3

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-673182026-08-01

  axios 1.13.0 before 1.18.0 maxBodyLength Bypass via HTTP/2

  Затронутые версии: >= 1.13.0, < 1.18.0

  средняя 6.3

  Исправлено в: 1.18.0

• CVE-2026-673172026-08-01

  axios 1.7.0 before 1.18.0 maxBodyLength Bypass via ReadableStream

  Затронутые версии: >= 1.7.0, < 1.18.0

  средняя 6.3

  Исправлено в: 1.18.0

• CVE-2026-673162026-08-01

  axios before 1.18.0 Prototype Pollution via bodyless methods

  Затронутые версии: >= 1.0.0, < 1.18.0 · < 0.33.0

  средняя 6.3

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-673152026-08-01

  axios 0.31.0 before 0.33.0 and 1.15.0 before 1.18.0 NO_PROXY Bypass via 0.0.0.0

  Затронутые версии: >= 1.15.0, < 1.18.0 · >= 0.31.0, < 0.33.0

  средняя 6.9

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-673142026-08-01

  axios before 1.18.0 Prototype Pollution via auth subfields

  Затронутые версии: >= 1.15.2, < 1.18.0

  средняя 6.3

  Исправлено в: 1.18.0

• CVE-2026-673132026-08-01

  axios 0.28.0 before 1.18.0 Denial of Service via formDataToJSON

  Затронутые версии: >= 0.28.0, < 0.33.0 · >= 1.0.0, < 1.18.0

  средняя 6.3

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-673122026-08-01

  axios 0.28.0 before 0.33.0 Denial of Service via formToJSON

  Затронутые версии: >= 0.28.0, < 0.33.0 · >= 1.0.0, < 1.18.0

  средняя 6.3

  Исправлено в: 0.33.0, 1.18.0

• CVE-2026-444962026-06-11

  Axios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection

  Затронутые версии: >= 1.0.0, < 1.16.0 · < 0.32.0

  высокая 7.5

  Исправлено в: 0.32.0, 1.16.0

  EPSS 5,4%

• CVE-2026-444952026-06-11

  Axios: Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge

  Затронутые версии: >= 1.0.0, < 1.15.2 · >= 0.19.0, < 0.31.1

  высокая 7.7

  Исправлено в: 0.31.1, 1.15.2

• CVE-2026-444942026-06-11

  Axios: Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`

  Затронутые версии: >= 1.0.0, < 1.16.0

  высокая 8.7

  Исправлено в: 1.16.0

  EPSS 1%

• CVE-2026-444922026-06-11

  Axios: shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)

  Затронутые версии: >= 1.15.0, < 1.16.0 · < 0.32.0

  высокая 8.6

  Исправлено в: 0.32.0, 1.16.0

  EPSS 12,2%

• CVE-2026-444902026-06-11

  Axios: DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions

  Затронутые версии: >= 1.0.0, < 1.16.0 · < 0.32.0

  высокая 8.2

  Исправлено в: 0.32.0, 1.16.0

• CVE-2026-444892026-06-11

  Axios: Proxy-Authorization Header Injection via Prototype Pollution — Incomplete Null-Prototype Fix

  Затронутые версии: >= 1.15.2, < 1.16.0

  средняя 5.3

  Исправлено в: 1.16.0

• CVE-2026-444882026-06-11

  Axios: Allocation of Resources Without Limits or Throttling in axios

  Затронутые версии: >= 1.7.0, < 1.16.0

  высокая 7.5

  Исправлено в: 1.16.0

• CVE-2026-444872026-06-11

  Axios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter

  Затронутые версии: >= 1.0.0, < 1.16.0 · < 0.32.0

  высокая 8.2

  Исправлено в: 0.32.0, 1.16.0

• CVE-2026-444862026-06-11

  Axios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection

  Затронутые версии: >= 1.0.0, < 1.16.0 · < 0.32.0

  высокая 7.5

  Исправлено в: 0.32.0, 1.16.0

• CVE-2026-422642026-05-08

  Axios: Prototype pollution read-side gadgets in HTTP adapter allow credential injection and request hijacking

  Затронутые версии: >= 1.0.0, < 1.15.2

  критическая 9.1

  Исправлено в: 1.15.2

• CVE-2026-420442026-04-24

  Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`

  Затронутые версии: >= 1.0.0, < 1.15.2

  критическая 9.1

  Исправлено в: 1.15.2

• CVE-2026-420432026-04-24

  Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  критическая 10.0

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420422026-04-24

  Axios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean Coercion

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  средняя 5.4

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420412026-04-24

  Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  средняя 6.5

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420402026-04-24

  Axios: Null Byte Injection via Reverse-Encoding in AxiosURLSearchParams

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  низкая 3.7

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420392026-04-24

  Axios: unbounded recursion in toFormData causes DoS via deeply nested request data

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  средняя 6.9

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420382026-04-24

  Axios: no_proxy bypass via IP alias allows SSRF

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  высокая 7.5

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420372026-04-24

  Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream

  Затронутые версии: >= 1.0.0, < 1.15.1

  средняя 5.3

  Исправлено в: 1.15.1

• CVE-2026-420362026-04-24

  Axios: HTTP adapter streamed responses bypass maxContentLength

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  средняя 5.3

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420352026-04-24

  Axios: Header Injection via Prototype Pollution

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  высокая 7.4

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420342026-04-24

  Axios: HTTP adapter streamed uploads bypass maxBodyLength when maxRedirects: 0

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  средняя 5.3

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-420332026-04-24

  Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking

  Затронутые версии: >= 1.0.0, < 1.15.1 · < 0.31.1

  высокая 7.4

  Исправлено в: 0.31.1, 1.15.1

• CVE-2026-40175есть код эксплойта2026-04-10

  Axios has Unrestricted Cloud Metadata Exfiltration via Header Injection Chain

  Затронутые версии: >= 1.0.0, < 1.15.0 · < 0.31.0

  средняя 4.8

  Исправлено в: 0.31.0, 1.15.0

  EPSS 1,9%

• CVE-2025-627182026-04-09

  Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF

  Затронутые версии: >= 1.0.0, < 1.15.0 · < 0.31.0

  средняя 6.3

  Исправлено в: 0.31.0, 1.15.0

  EPSS 1,1%

• CVE-2026-398652026-04-08

  Axios HTTP/2 Session Cleanup State Corruption Vulnerability

  Затронутые версии: >= 1.13.0, < 1.13.2

  средняя 5.9

  Исправлено в: 1.13.2

• CVE-2026-256392026-02-09

  Axios affected by Denial of Service via __proto__ Key in mergeConfig

  Затронутые версии: >= 1.0.0, < 1.13.5 · < 0.30.3

  высокая 7.5

  Исправлено в: 0.30.3, 1.13.5

  EPSS 2,7%

• CVE-2025-587542025-09-12

  Axios is vulnerable to DoS attack through lack of data size check

  Затронутые версии: >= 1.0.0, < 1.12.0 · >= 0.28.0, < 0.30.2

  высокая 7.5

  Исправлено в: 0.30.2, 1.12.0

  EPSS 1,1%

• CVE-2025-27152есть код эксплойта2025-03-07

  Possible SSRF and Credential Leakage via Absolute URL in axios Requests

  Затронутые версии: >= 1.0.0, < 1.8.2 · < 0.30.0

  высокая 7.7

  Исправлено в: 0.30.0, 1.8.2

• CVE-2024-393382024-08-12

  axios 1.7.2 allows SSRF via unexpected behavior where requests for path relative URLs get processed as protocol relative URLs.

  Затронутые версии: >= 1.3.2, < 1.7.4

  высокая 7.5

  Исправлено в: 1.7.4

  EPSS 1,2%

• CVE-2023-45857есть код эксплойта2023-11-08

  An issue discovered in Axios 1.5.1 inadvertently reveals the confidential XSRF-TOKEN stored in cookies by including it in the HTTP header X-

  Затронутые версии: >= 1.0.0, < 1.6.0 · >= 0.8.1, < 0.28.0

  средняя 6.5

  Исправлено в: 0.28.0, 1.6.0

• CVE-2021-3749есть код эксплойта2021-08-31

  Inefficient Regular Expression Complexity in axios/axios

  Затронутые версии: < 0.21.2

  высокая 7.5

  Исправлено в: 0.21.2

  EPSS 8,5%

• CVE-2020-281682020-11-06

  Axios NPM package 0.21.0 contains a Server-Side Request Forgery (SSRF) vulnerability where an attacker is able to bypass a proxy by providin

  Затронутые версии: < 0.21.1

  средняя 5.9

  Исправлено в: 0.21.1

  EPSS 2,3%

• CVE-2019-10742есть код эксплойта2019-05-07

  Axios up to and including 0.18.0 allows attackers to cause a denial of service (application crash) by continuing to accepting content after

  Затронутые версии: < 0.18.1

  высокая 7.5

  Исправлено в: 0.18.1

  EPSS 6,1%

• без CVE

  Versions before 1.6.8 depends on follow-redirects before 1.15.6 which could leak the proxy authentication credentials

  Затронутые версии: < 1.6.8

  средняя

  Исправлено в: 1.6.8