CVE-2026-101903 — Axios — Corretto in 1.20.0

Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.16.1 fino alla 1.20.0, l’espressione regolare RFC 2397 consente caratteri barra su entrambi i lati del separatore del tipo di media. Un’applicazione riceve un URL data non valido controllato da un utente malintenzionato, contenente molti caratteri barra e nessuna virgola. Il motore di espressioni regolari JavaScript esplora molte possibili posizioni del separatore prima di rifiutare l’URL. Il backtracking eccessivo sincrono può bloccare l’event loop di Node.js e causare un denial of service. Gli identificatori interessati sono fromDataURI, DATA_URL_PATTERN, data:. Il problema è stato risolto nella versione 1.20.0.