CVE-2026-101906 — Axios — Corregido en 1.20.0

Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 1.15.0 hasta la 1.20.0, shouldBypassProxy aplica una expresión regular cuadrática de punto final a los nombres de host de redirección. HTTP_PROXY o HTTPS_PROXY está configurado, NO_PROXY o no_proxy no está vacío, se siguen las redirecciones y un encabezado Location de redirección manipulado contiene muchos puntos seguidos de un carácter que no es un punto. Hostname.replace(/.+$/, '') realiza retroceso cuadrático mientras procesa el nombre de host de redirección manipulado. El procesamiento síncrono de expresiones regulares puede bloquear el bucle de eventos de Node.js y provocar una denegación de servicio. Este problema se corrigió en la versión 1.20.0.