CVE-2026-67315

إصدارات axios من 0.31.0 إلى 0.32.x

إصدارات axios من 1.15.0 إلى 1.17.x

في تطبيقات Node.js التي تستخدم محول HTTP، يفشل البرنامج في التعرف على 0.0.0.0 كعنوان loopback ضمن الدالة shouldBypassProxy() الموجودة في lib/helpers/shouldBypassProxy.js. يحدث هذا لأن الدالة isLoopback() لا تتضمن 0.0.0.0 في منطق التحقق الخاص بها، مما يؤدي إلى تجاهل الطلبات الموجهة إلى هذا العنوان لقواعد NO PROXY (مثل localhost أو 127.0.0.1). وبالتالي، إذا تمكن المهاجم من التلاعب بعنوان URL للطلب أو وجهة إعادة التوجيه، فيمكنه توجيه الطلبات عبر بروكسيات مكونة للوصول إلى الخدمات المحلية، مما قد يؤدي إلى تجاوز تصفية SSRF وكشف لوحات إدارة داخلية أو واجهات برمجة تطبيقات (API) للخدمات الصغيرة.

قم بتحديث axios إلى الإصدار 0.33.0 أو أحدث.

قم بتحديث axios إلى الإصدار 1.18.0 أو أحدث.

كحل مؤقت، أضف 0.0.0.0 صراحةً إلى متغير البيئة NO PROXY.

كحل مؤقت، قم بتعيين proxy: false في تكوين طلبات axios للطلبات التي يجب ألا تستخدم الوكلاء البيئيين.

كحل مؤقت، قم بتوحيد أو رفض 0.0.0.0 في عملية التحقق من صحة عناوين URL للتطبيق قبل تمريرها إلى axios.

قم بتكوين الوكيل المستخدم لرفض الطلبات الموجهة إلى 0.0.0.0، وعناوين loopback، وlink-local، ونطاقات العناوين الداخلية.