CVE-2026-101903 — Axios — Behoben in 1.20.0

Axios ist ein promise-basierter HTTP-Client für den Browser und Node.js. Von 1.16.1 bis 1.20.0 erlaubt der reguläre Ausdruck für RFC 2397 Schrägstriche auf beiden Seiten des Media-Type-Trennzeichens. Eine Anwendung übergibt eine vom Angreifer kontrollierte fehlerhafte Data-URL, die viele Schrägstriche und kein Komma enthält. Die JavaScript-Engine für reguläre Ausdrücke untersucht viele mögliche Positionen für das Trennzeichen, bevor sie die URL zurückweist. Synchrones übermäßiges Backtracking kann die Event-Loop von Node.js blockieren und einen Denial-of-Service verursachen. Die betroffenen Bezeichner sind fromDataURI, DATA_URL_PATTERN, data:. Dieses Problem wurde in Version 1.20.0 behoben.