CVE-2026-101906 — Axios — Behoben in 1.20.0

Axios ist ein Promise-basierter HTTP-Client für den Browser und Node.js. Von Version 1.15.0 bis Version 1.20.0 wendet Axios shouldBypassProxy einen quadratischen regulären Ausdruck für nachgestellte Punkte auf Hostnamen bei Weiterleitungen an. HTTP_PROXY oder HTTPS_PROXY ist konfiguriert, NO_PROXY oder no_proxy ist nicht leer, Weiterleitungen werden verfolgt und ein präparierter Redirect-Location-Header enthält viele Punkte, auf die ein Zeichen folgt, das kein Punkt ist. Hostname.replace(/.+$/, '') führt beim Verarbeiten des präparierten Weiterleitungs-Hostnamens zu quadratischem Backtracking. Die synchrone Verarbeitung des regulären Ausdrucks kann die Node.js-Event-Schleife blockieren und einen Denial-of-Service verursachen. Dieses Problem wurde in Version 1.20.0 behoben.