CVE-2026-67318

إصدارات axios 1.13.0 وما بعدها

عند استخدام محول HTTP الخاص بـ Node.js، يفشل البرنامج في فرض حد maxBodyLength على نصوص الطلبات المتدفقة إذا تم إرسال الطلبات باستخدام httpVersion: 2. يحدث هذا لأن واجهة برمجة تطبيقات (API) طلبات HTTP/2 الخاصة بـ Node.js لا تراعي خيار maxBodyLength، ولا يتم تنشيط غلاف التدفق الداخلي لحساب البايتات إلا عندما يتم تعيين maxRedirects على 0.

يمكن للمهاجم الذي يتحكم في دفق يتم تمريره إلى البرنامج أن يتسبب في قيام التطبيق بإرسال بيانات صادرة تتجاوز الحد المحدد لـ maxBodyLength. وقد يؤدي ذلك إلى استهلاك الموارد وتجاوز السياسات، مثل تجاوز النطاق الترددي الصادر، وزيادة تكاليف الإرسال، واستهلاك حصة النطاق الترددي الصاعد، ومحدودية توفر التطبيق أو النظير الصاعد. لا تسمح هذه المشكلة بتنفيذ التعليمات البرمجية، أو الكشف عن بيانات الاعتماد، أو التحكم في وجهة الطلب.

بالنسبة للإصدارات 1.15.1 وما بعدها، قم بتعيين maxRedirects: 0 على استدعاءات التحميل المتدفق عبر HTTP/2 المتأثرة لتفعيل غلاف الدفق ورفض التدفقات ذات الحجم الزائد.

بالنسبة للإصدارات السابقة لـ 1.15.1، قم بتحديد الحد الأقصى للدفق مسبقًا باستخدام تحويل لحساب عدد البايتات قبل تمريره إلى البرنامج، أو ارفض عمليات التحميل ذات الحجم الزائد قبل إعادة توجيهها، أو تجنب استخدام httpVersion: 2 لعمليات التحميل المتدفقة غير الموثوق بها.