Axios : déni de service par ReDoS lors du traitement des redirections et du proxy

Veille sécuritéBackend & données

P3Élevée

Une redirection vers un nom d’hôte spécialement formé peut déclencher une expression régulière coûteuse dans Axios et bloquer la boucle d’événements Node.js. Le problème concerne les applications qui suivent les redirections en utilisant des variables de proxy et un réglage `NO_PROXY` non vide ; mettez Axios à jour vers 1.20.0 ou désactivez le suivi automatique des redirections non fiables en attendant.

IdentifiantCVE-2026-101906

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.20.0

Source : GHSA-mghh-pgcx-3jjj — Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

Analyse technique

La normalisation du nom d’hôte dans `shouldBypassProxy()` utilise une expression régulière ancrée susceptible d’un coût quadratique. Le chemin concerné exige le traitement de proxy d’environnement, un `NO_PROXY` non vide et le suivi des redirections.

Impact, versions et correctif

Événement datéAvis publié le 2026-09-30 à 15:03:02Z, dans la période demandée ; retenu comme nouvel avis de sécurité.

ImpactUne redirection malveillante peut monopoliser le thread Node.js et dégrader la disponibilité de l’application.

Versions affectées>= 1.15.0, < 1.20.0

Version corrigée1.20.0

ContournementDésactiver les redirections automatiques pour les serveurs non fiables ou, lorsque cela convient, éviter le traitement par proxy d’environnement avec `proxy: false`.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-09-30T15:03:02Z

Mise à jour2026-09-30T15:03:03Z

Action recommandée

Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; à défaut, limiter le suivi des redirections non fiables dans les configurations concernées.

Sources

GHSA-mghh-pgcx-3jjj — Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location

Priorisation DFS : P3 · 1 source(s).