Las fallas de Axios HTTP/2 habilitan la omisión de control SSRF y la denegación de servicio de Node.js

Axios ha revelado dos vulnerabilidades de alta gravedad en su implementación HTTP/2 que podrían permitir a los atacantes eludir los controles de la red saliente o bloquear las aplicaciones vulnerables de Node.js. El primer problema, rastreado como GHSA-3pq3-5fj3-cg6v y CVE-2026-101898, afecta a las aplicaciones de Axios que utilizan solicitudes HTTP/2 junto con funciones de búsqueda de DNS personalizadas o configuraciones de proxy.

Es posible que no aplique las políticas de búsqueda de DNS proporcionadas por el llamante, la configuración explícita del proxy o la configuración del proxy heredada de las variables de entorno antes de crear una conexión HTTP/2. Si el servicio cambia al adaptador HTTP/2 afectado, Axios podría omitir la búsqueda personalizada o la ruta proxy y enviar una solicitud directa a un recurso restringido. El segundo problema, GHSA-542g-h47m-68v8 y CVE-2026-101901, puede causar denegación de servicio en las aplicaciones Node.js. El riesgo práctico es mayor en las aplicaciones que utilizan Axios para recuperar URL controladas por atacantes, llamar a integraciones externas, procesar webhooks o solicitudes de proxy a hosts especificados por el usuario.

El aviso de Axios cubre dos fallas de alta gravedad tras la introducción del soporte HTTP/2 en su adaptador HTTP Node.js en la versión 1.13.0. Las fallas post Axios HTTP/2 Enable SSRF Control Bypass y la denegación de servicio de Node.js aparecieron primero en Cyber Security News.

Consultar publicación original ↗