Axios pour Node.js peut bloquer la boucle d’événements lorsqu’il analyse une URL `data:` malformée comportant de nombreuses barres obliques, provoquant un déni de service. Les versions 1.16.1 à 1.19.x sont concernées ; rejetez les URL `data:` non nécessaires ou limitez leur longueur, et mettez à jour vers Axios 1.20.0.
Source : GHSA-c29m-xwm3-cm6r — Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)
Analyse technique
L’expression régulière d’analyse des URL `data:` autorise des séparations ambiguës des barres obliques et peut effectuer un travail quadratique synchrone. Le délai d’expiration réseau ne protège pas contre ce blocage survenant avant la requête.
Impact, versions et correctif
Action recommandée
Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; en attendant, refuser les URL `data:` non requises et limiter la longueur des URL non fiables.
Sources
- GHSA-c29m-xwm3-cm6r — Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)
Priorisation DFS : P3 · 1 source(s).