CVE-2026-101906 — Axios — Corrigé dans 1.20.0

Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.15.0 jusqu’à la version 1.20.0, Axios shouldBypassProxy applique une expression régulière quadratique avec un point final aux noms d’hôte de redirection. HTTP_PROXY ou HTTPS_PROXY est configuré, NO_PROXY ou no_proxy n’est pas vide, les redirections sont suivies et un en-tête Location de redirection forgé contient de nombreux points suivis d’un caractère autre qu’un point. Hostname.replace(/.+$/, '') effectue un retour arrière quadratique lors du traitement du nom d’hôte de redirection forgé. Le traitement synchrone des expressions régulières peut bloquer la boucle d’événements de Node.js et provoquer un déni de service. Ce problème est corrigé dans la version 1.20.0.