Iniciar sesión
Deutsch English Español Polski
Media

Axios vulnerable to Server-Side Request Forgery

  • Publicada: 04.01.2021
  • Actualizado: 11.10.2026 10:22

Axios NPM package 0.21.0 contains a Server-Side Request Forgery (SSRF) vulnerability where an attacker is able to bypass a proxy by providing a URL that responds with a redirect to a restricted host or IP address.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm axios < 0.21.1 0.21.1

Referencias

Puntuación CVSS 5.9/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE)
CWE-918
Plataforma
npm
Paquete
axios
Publicada
04.01.2021
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-4w2v-q235-vp99 - CC BY 4.0

Historial de vulnerabilidades: axios

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (55) en el archivo
Entradas en total
55
Primera → última
05.2019 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 25
  • Media 28
  • Baja 2

Divulgaciones por año

Gravedad:
  1. Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection
    Alta CVE-2026-101905 >= 1.15.2, < 1.20.0 1.20.0
  2. Axios: maxRedirects: 0 is not enforced by the fetch adapter, allowing redirect-based SSRF
    Alta CVE-2026-101907 >= 1.17.0, < 1.20.0 1.20.0
  3. Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)
    Alta CVE-2026-101903 >= 1.16.1, < 1.20.0 1.20.0
  4. Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location
    Alta CVE-2026-101906 >= 1.15.0, < 1.20.0 1.20.0
  5. Axios: Prototype Pollution Gadget in axios toFormData Options
    Alta CVE-2026-101909 >= 0.28.0, < 0.34.0, >= 1.15.1, < 1.20.0 0.34.0, 1.20.0
  6. Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
    Alta CVE-2026-101898 >= 1.13.0, < 1.20.0 1.20.0
  7. Axios: Denial of Service via Unhandled 'error' Event in HTTP/2 ClientHttp2Session Initialization
    Alta CVE-2026-101901 >= 1.13.0, < 1.20.0 1.20.0
  8. Axios Node HTTP adapter can use an inherited proxy after interceptor config cloning
    Alta CVE-2026-67320 >= 0.31.1, < 0.33.0, >= 1.15.2, < 1.18.0 0.33.0, 1.18.0
  9. Axios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
    Alta · 7.5 CVE-2026-44496 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  10. Allocation of Resources Without Limits or Throttling in Axios
    Alta · 7.5 CVE-2026-44488 >= 1.7.0, < 1.16.0 1.16.0
  11. Axios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
    Alta CVE-2026-44487 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  12. Axios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
    Alta · 7.5 CVE-2026-44486 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  13. axios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
    Alta · 7.0 CVE-2026-44495 >= 1.0.0, < 1.15.2, >= 0.19.0, < 0.31.1 1.15.2, 0.31.1
  14. axios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
    Alta · 8.7 CVE-2026-44494 >= 1.0.0, < 1.16.0 1.16.0
  15. axios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
    Alta · 8.6 CVE-2026-44492 >= 1.15.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  16. Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
    Alta · 7.4 CVE-2026-42033 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  17. Axios: Header Injection via Prototype Pollution
    Alta · 7.4 CVE-2026-42035 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  18. Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
    Alta · 7.2 CVE-2026-42043 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  19. Axios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
    Alta · 7.4 CVE-2026-42264 >= 1.0.0, < 1.15.2 1.15.2
  20. Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
    Alta · 7.5 CVE-2026-25639 >= 1.0.0, < 1.13.5, < 0.30.3 1.13.5, 0.30.3
  21. Axios is vulnerable to DoS attack through lack of data size check
    Alta · 7.5 CVE-2025-58754 >= 1.0.0, < 1.12.0, >= 0.28.0, < 0.30.2 1.12.0, 0.30.2
  22. axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL
    Alta CVE-2025-27152 >= 1.0.0, < 1.8.2, < 0.30.0 1.8.2, 0.30.0
  23. Server-Side Request Forgery in axios
    Alta CVE-2024-39338 >= 1.3.2, < 1.7.4 1.7.4
  24. axios Inefficient Regular Expression Complexity vulnerability
    Alta · 7.5 CVE-2021-3749 < 0.21.2 0.21.2
  25. Axios vulnerable to Server-Side Request Forgery esta entrada
    Media · 5.9 CVE-2020-28168 < 0.21.1 0.21.1
  26. Denial of Service in axios
    Alta · 7.5 CVE-2019-10742 < 0.18.1 0.18.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.