CVE-2026-101903 — Axios — Corregido en 1.20.0

Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 1.16.1 hasta la 1.20.0, la expresión regular RFC 2397 permite caracteres de barra a ambos lados del separador del tipo de medio. Una aplicación pasa una URL de datos malformada controlada por un atacante que contiene muchos caracteres de barra y ninguna coma. El motor de expresiones regulares de JavaScript explora muchas ubicaciones posibles del separador antes de rechazar la URL. El retroceso excesivo síncrono puede bloquear el bucle de eventos de Node.js y causar una denegación de servicio. Los identificadores afectados son fromDataURI, DATA_URL_PATTERN, data:. Este problema se corrigió en la versión 1.20.0.