Anmelden
Deutsch English Español Polski
Mittel

Axios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0

  • Veröffentlicht: 05.05.2026
  • Aktualisiert: 11.10.2026 10:22

Summary

For stream request bodies, maxBodyLength is bypassed when maxRedirects is set to 0 (native http/https transport path). Oversized streamed uploads are sent fully even when the caller sets strict body limits.

Details

Relevant flow in lib/adapters/http.js:

  • 556-564: maxBodyLength check applies only to buffered/non-stream data.
  • 681-682: maxRedirects === 0 selects native http/https transport.
  • 694-699: options.maxBodyLength is set, but native transport does not enforce it.
  • 925-945: stream is piped directly to socket (data.pipe(req)) with no Axios byte counting.

This creates a path-specific bypass for streamed uploads.

PoC

Environment:

  • Axios main at commit f7a4ee2
  • Node v24.2.0

Steps:

  1. Start an HTTP server that counts uploaded bytes and returns {received}.
  2. Send a 2 MiB Readable stream with:
    • adapter: 'http'
    • maxBodyLength: 1024
    • maxRedirects: 0

Observed:

  • Request succeeds; server reports received: 2097152.

Control checks:

  • Same stream with default/nonzero redirects: rejected with ERR_FR_MAX_BODY_LENGTH_EXCEEDED.
  • Buffered body with maxRedirects: 0: rejected with ERR_BAD_REQUEST.

Impact

Type: DoS / uncontrolled upstream upload / resource exhaustion. Impacted: Node.js services using streamed request bodies with maxBodyLength expecting hard enforcement, especially when following Axios guidance to use maxRedirects: 0 for streams.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
npm-Paket axios >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1

Verweise

CVSS-Wert 5.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE)
CWE-770
Plattform
npm
Paket
axios
Veröffentlicht
05.05.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-5c9x-8gcm-mpgx - CC BY 4.0

Schwachstellenhistorie: axios

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (55) im Archiv
Einträge insgesamt
55
Erste → letzte
05.2019 09.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Hoch 25
  • Mittel 28
  • Niedrig 2

Veröffentlichungen pro Jahr

Schweregrad:
  1. Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection
    Hoch CVE-2026-101905 >= 1.15.2, < 1.20.0 1.20.0
  2. Axios: maxRedirects: 0 is not enforced by the fetch adapter, allowing redirect-based SSRF
    Hoch CVE-2026-101907 >= 1.17.0, < 1.20.0 1.20.0
  3. Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)
    Hoch CVE-2026-101903 >= 1.16.1, < 1.20.0 1.20.0
  4. Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location
    Hoch CVE-2026-101906 >= 1.15.0, < 1.20.0 1.20.0
  5. Axios: Prototype Pollution Gadget in axios toFormData Options
    Hoch CVE-2026-101909 >= 0.28.0, < 0.34.0, >= 1.15.1, < 1.20.0 0.34.0, 1.20.0
  6. Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
    Hoch CVE-2026-101898 >= 1.13.0, < 1.20.0 1.20.0
  7. Axios: Denial of Service via Unhandled 'error' Event in HTTP/2 ClientHttp2Session Initialization
    Hoch CVE-2026-101901 >= 1.13.0, < 1.20.0 1.20.0
  8. Axios Node HTTP adapter can use an inherited proxy after interceptor config cloning
    Hoch CVE-2026-67320 >= 0.31.1, < 0.33.0, >= 1.15.2, < 1.18.0 0.33.0, 1.18.0
  9. Axios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
    Hoch · 7.5 CVE-2026-44496 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  10. Allocation of Resources Without Limits or Throttling in Axios
    Hoch · 7.5 CVE-2026-44488 >= 1.7.0, < 1.16.0 1.16.0
  11. Axios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
    Hoch CVE-2026-44487 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  12. Axios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
    Hoch · 7.5 CVE-2026-44486 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  13. axios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
    Hoch · 7.0 CVE-2026-44495 >= 1.0.0, < 1.15.2, >= 0.19.0, < 0.31.1 1.15.2, 0.31.1
  14. axios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
    Hoch · 8.7 CVE-2026-44494 >= 1.0.0, < 1.16.0 1.16.0
  15. axios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
    Hoch · 8.6 CVE-2026-44492 >= 1.15.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  16. Axios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects: 0 dieser Eintrag
    Mittel · 5.3 CVE-2026-42034 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  17. Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
    Hoch · 7.4 CVE-2026-42033 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  18. Axios: Header Injection via Prototype Pollution
    Hoch · 7.4 CVE-2026-42035 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  19. Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
    Hoch · 7.2 CVE-2026-42043 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  20. Axios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
    Hoch · 7.4 CVE-2026-42264 >= 1.0.0, < 1.15.2 1.15.2
Mehr anzeigen (6) 20 von 26 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.