axios до 0.33.0 содержит неполный обход ограничения глубины в toFormData.js при сериализации объектов с ключами верхнего уровня, заканчивающимися на '{}'. Злоумышленники, которые контролируют ключи объекта и вложенные значения, передаваемые в форму axios или сериализацию параметров, могут вызвать ошибку RangeError из JSON.stringify, что приведет к отказу в обслуживании на затронутом пути запроса.
Показать оригинальное описание (EN)
axios versions 0.31.1 before 0.33.0 and 1.15.1 before 1.18.0 contain an incomplete depth-limit bypass in toFormData.js when serializing objects with top-level keys ending in '{}'. Attackers who control object keys and nested values passed to axios form or parameter serialization can trigger a RangeError from JSON.stringify, causing denial of service in the affected request path.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Axios Axios
cpe:2.3:a:axios:axios:*:*:*:*:*:node.js:*:*
|
0.31.1
|
0.33.0
|
|
Axios Axios
cpe:2.3:a:axios:axios:*:*:*:*:*:node.js:*:*
|
1.15.1
|
1.18.0
|