CVE-2026-44488

إصدارات Axios من 1.7.0 حتى 1.15.x

يفشل Axios في فرض حدود حجم الطلبات والاستجابات المحددة عند استخدام محول fetch. يحدث هذا عندما تقوم التطبيقات بتعيين adapter: ’fetch‘ بشكل صريح، أو تستخدم تكوينًا يتم فيه اختيار fetch من قائمة، أو تعمل في بيئات حيث يكون محول fetch هو الإعداد الافتراضي لـ Axios. ونتيجة لذلك، قد يرسل البرنامج أو يستقبل نصوص بيانات تتجاوز الحدود المحددة لـ maxContentLength أو maxBodyLength.

يمكن أن تؤدي هذه المشكلة إلى استنفاد الموارد، مثل استنفاد الذاكرة أو وحدة المعالجة المركزية (CPU) أو الشبكة، لا سيما في البيئات من جانب الخادم. ويحدث هذا عندما يقوم خادم مخترق أو ضار بإرجاع استجابة كبيرة الحجم، أو عندما يقدم المهاجم عنوان URL كبير الحجم من نوع data:، أو عندما يقوم التطبيق بإعادة توجيه نصوص الطلبات التي يتحكم فيها المهاجم مع الاعتماد على maxBodyLength كحد أمني.

قم بتحديث إصدارات Axios من 1.7.0 إلى 1.15.x إلى الإصدار 1.16.0.

كحل مؤقت، استخدم محول http الخاص بـ Node.js للطلبات من جانب الخادم حيث تكون حدود الحجم المحدودة ذات صلة بالأمان.

تحقق من صحة نصوص الطلبات التي يتحكم فيها المهاجم أو ضع حدًا أقصى لها قبل تمريرها إلى Axios.

ارفض أنظمة عناوين URL التي يتحكم فيها المهاجم، أو ضعها في قائمة السماح الصارمة، خاصة عناوين URL التي تبدأ بـ data:، قبل استدعاء Axios.