CVE-2026-101903 — Axios — Corrigé dans 1.20.0

Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.16.1 à la version 1.20.0, l’expression régulière RFC 2397 autorise les caractères barre oblique des deux côtés du séparateur de type de média. Une application transmet une URL de données malformée contrôlée par un attaquant, contenant de nombreux caractères barre oblique et aucune virgule. Le moteur d’expressions régulières JavaScript explore de nombreux emplacements possibles du séparateur avant de rejeter l’URL. Un backtracking excessif synchrone peut bloquer la boucle d’événements Node.js et provoquer un déni de service. Les identifiants concernés sont fromDataURI, DATA_URL_PATTERN, data:. Ce problème est corrigé dans la version 1.20.0.