Axios разкри две уязвимости с висока степен на опасност в своята HTTP/2 реализация, които биха могли да позволят на атакуващи да заобиколят контрола над изходящия мрежов трафик или да сринат уязвими Node.js приложения. Пропуските засягат версии на Axios от 1.13.0 до 1.19.x и са отстранени във версия 1.20.0

Първият проблем, регистриран като GHSA-3pq3-5fj3-cg6v и CVE-2026-101898, засяга приложения на Axios, които използват HTTP/2 заявки заедно с потребителски DNS lookup функции или прокси настройки.

Axios може да не успее да приложи конфигурацията, предоставена от извикващия модул. Може да не успее да приложи политиките за DNS lookup, изричните прокси настройки или прокси конфигурацията, наследена от променливите на средата, преди да създаде HTTP/2 връзка.

Това създава риск от фалшифициране на заявки от страна на сървъра (SSRF) в приложения, които приемат контролирани от потребителя URL адреси. Екипите по сигурност обикновено използват потребителски DNS преобразувател за блокиране на вътрешни адреси, услуги за облачни метаданни, целеви адреси на localhost или приватни мрежови диапазони.

Други среди за внедряване пренасочват изходящия трафик през прокси за инспекция. При уязвимия HTTP/2 път на изпълнение на кода, Axios може да се свърже директно с местоназначението, вместо да спази тези защити.

Axios HTTP/2 Flaws

Атакуващ би могъл да злоупотреби с уязвимостта, когато приложение предава контролирано от потребителя местоназначение към Axios с httpVersion: 2. Например уеб услуга, предназначена да извлича външни URL адреси, може да използва разрешителен списък (allowlist) за DNS, за да предотврати заявки към 127.0.0.1, RFC1918 мрежи или крайни точки за облачни метаданни.

Ако услугата превключи към засегнатия HTTP/2 адаптер, Axios може да заобиколи потребителската проверка или прокси маршрута и да изпрати директна заявка към ограничен ресурс.

Вторият проблем, GHSA-542g-h47m-68v8 и CVE-2026-101901, може да предизвика отказ от обслужване (DoS) в Node.js приложения. Axios не е инсталирал адекватна обработка на грешки за ClientHttp2Session по време на инициализация или повторно използване на HTTP/2 сесия.

Ако тази сесия генерира събитие за грешка, събитието може да се изплъзне от нормалната обработка на откази на Promise в Axios и да се превърне в неприхваната извънредна ситуация (uncaught exception).

В Node.js неприхванато събитие за грешка може да прекрати работещия процес. Следователно киберпрестъпник, който може да повлияе на потока от заявки, създаващ или използващ повторно Axios HTTP/2 сесия, може да принуди засегнатата услуга да прекъсне работа.

Практическият риск е най-висок при приложения, които използват Axios за извличане на контролирани от атакуващия URL адреси, извикване на външни интеграции, обработка на уебхукове или пренасочване на заявки към хостове, посочени от потребителя.

Препоръката за сигурност на Axios обхваща два дефекта с висока степен на сериозност след въвеждането на поддръжка за HTTP/2 в неговия HTTP адаптер за Node.js във версия 1.13.0.

Организациите трябва незабавно да актуализират Axios до версия 1.20.0 или по-нова. До пълното инсталиране на корекциите за сигурност екипите трябва да изключат HTTP/2 заявките чрез премахване на httpVersion: 2 или чрез използване на HTTP/1.1.

Екипите по защита трябва също така да прегледат приложенията, които извличат предоставени от потребителя URL адреси, да валидират целевите хостове преди иницииране на заявки, да поддържат филтриране на изходящия трафик извън слоя на приложението и да наблюдават изходящите връзки за неочакван достъп до вътрешни среди или услуги за метаданни.