CVE-2026-101906 — Axios — Corretto in 1.20.0

Axios è un client HTTP basato su promise per browser e Node.js. Dalla versione 1.15.0 alla 1.20.0, Axios shouldBypassProxy applica un'espressione regolare quadratica con punto finale ai nomi host di reindirizzamento. È configurato HTTP_PROXY o HTTPS_PROXY, NO_PROXY o no_proxy non è vuoto, vengono seguiti i reindirizzamenti e un'intestazione Location di reindirizzamento appositamente predisposta contiene molti punti seguiti da un carattere diverso da un punto. Hostname.replace(/.+$/, '') esegue backtracking quadratico durante l'elaborazione del nome host di reindirizzamento appositamente predisposto. L'elaborazione sincrona delle espressioni regolari può bloccare l'event loop di Node.js e causare una negazione del servizio. Il problema è stato risolto nella versione 1.20.0.