CVE-2026-39865

Nome do Software Vulnerável e Versões Afetadas Axios versões anteriores a 1.13.2

Descrição Uma falha existe na lógica de limpeza de sessões HTTP/2 do Axios, permitindo que um servidor malicioso cause a falha do processo do cliente por meio do fechamento simultâneo de sessões. A questão reside no método Http2Sessions.getSession() dentro de lib/adapters/http.js. A lógica de limpeza de sessão contém um erro de fluxo de controle ao remover sessões do array de sessões. Um servidor malicioso pode explorar isso estabelecendo várias sessões HTTP/2 simultâneas com um cliente Axios e, em seguida, fechando todas as sessões simultaneamente. Isso faz com que o cliente acesse locais de memória inválidos, resultando em uma falha no processo.

Recomendações Atualize para a versão 1.13.2 ou posterior do Axios.