CVE-2026-42036
MediumSummary
Axios, klient HTTP oparty na obietnicach dla przeglądarki i Node.js, przed wersjami 1.15.1 i 0.31.1, nie egzekwował limitu maxContentLength dla strumieni odpowiedzi, gdy używano responseType: 'stream'. To pozwala na ominięcie skonfigurowanych limitów rozmiaru odpowiedzi.
Risk Assessment
Brak egzekwowania limitów rozmiaru odpowiedzi może prowadzić do niekontrolowanego zużycia zasobów, co może wpłynąć na wydajność aplikacji oraz bezpieczeństwo systemu.
Recommendation
Zaleca się aktualizację Axios do wersji 1.15.1 lub 0.31.1 lub nowszej, aby zapewnić egzekwowanie limitów rozmiaru odpowiedzi.
Original NVD description (English source)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, when responseType: 'stream' is used, Axios returns the response stream without enforcing maxContentLength. This bypasses configured response-size limits and allows unbounded downstream consumption. This vul