Veille sécuritéBackend & données
P3Élevée
Dans l’adaptateur Fetch d’Axios, `maxRedirects: 0` n’empêche pas le suivi des redirections, ce qui peut contourner une protection SSRF configurée par l’application. Le problème concerne les requêtes utilisant cet adaptateur sans contrôle de redirection Fetch équivalent ; utiliser `fetchOptions: { redirect: 'manual' }` si pris en charge, ou l’adaptateur HTTP, et mettre à jour Axios.
DenoNode.js
IdentifiantCVE-2026-101907
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifaxios 1.20.0
Source : GHSA-r4gj-5m52-g5wh — Axios: maxRedirects: 0 is not enforced by the fetch adapter, allowing redirect-based SSRF
Analyse technique
L’adaptateur Fetch ne transmet pas `maxRedirects` à l’API Fetch, dont le comportement par défaut suit les redirections. L’impact dépend d’une source de redirection contrôlable et d’une application qui s’appuie sur `maxRedirects: 0` comme protection.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-09-30T17:31:58+02:00 ; retenu comme nouvel avis de sécurité dans la période.
ImpactUne requête peut suivre une redirection vers une destination interne malgré `maxRedirects: 0`, exposant potentiellement des réponses ou déclenchant des actions internes.
Versions affectéesAxios >= 1.17.0, < 1.20.0
Version corrigéeaxios 1.20.0
ContournementPour l’adaptateur Fetch, définir `fetchOptions: { redirect: 'manual' }` si l’environnement le prend en charge, ou utiliser l’adaptateur HTTP.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T17:31:58+02:00
Mise à jour2026-09-30T17:32:00+02:00
Action recommandée
Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; en attendant, appliquer un contrôle de redirection Fetch explicite ou utiliser l’adaptateur HTTP.
Sources
Priorisation DFS : P3 · 1 source(s).