Avec l’adaptateur HTTP/2 de Node.js, Axios ne transmet pas certaines règles DNS personnalisées ni les contrôles de proxy configurés au niveau supérieur. Une application qui laisse influencer la destination et compte sur ces contrôles pour limiter les connexions sortantes peut ainsi contourner sa politique réseau ; utilisez Axios 1.20.0 ou repassez par HTTP/1 tant que la mise à jour n’est pas possible.
Source : GHSA-3pq3-5fj3-cg6v — Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
Analyse technique
Le chemin HTTP/2 appelle `http2.connect()` avec les options HTTP/2, sans reprendre les contrôles DNS, proxy ou agent configurés sur le chemin de requête supérieur. Le risque suppose HTTP/2 activé et une frontière de confiance permettant à l’utilisateur d’influencer les URL.
Impact, versions et correctif
Action recommandée
Mettre à jour Axios vers 1.20.0 ou une version ultérieure. À défaut, privilégier HTTP/1 pour les requêtes dépendant de contrôles DNS ou proxy, et valider séparément les destinations.
Sources
Priorisation DFS : P3 · 1 source(s).