🇰🇷 한글 설명
Axios의 스트림 요청 본문에서 maxRedirects를 0으로 설정할 때 maxBodyLength 제한이 우회되는 취약점입니다. 이로 인해 호출자가 설정한 엄격한 본문 크기 제한을 무시하고 과도한 크기의 업로드가 전송될 수 있습니다. 버전 1.15.1 및 0.31.1에서 수정되었습니다.
💡 쉬운 설명
Axios 라이브러리의 파일 업로드 기능에서 크기 제한을 무시할 수 있는 버그입니다. 공격자가 이를 악용하여 서버에 과도하게 큰 파일을 보내 리소스를 소진시킬 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, for stream request bodies, maxBodyLength is bypassed when maxRedirects is set to 0 (native http/https transport path). Oversized streamed uploads are sent fully even when the caller sets strict body limits. This vulnerability is fixed in 1.15.1 and 0.31.1.
📍 영향받는 시스템
Axios < 1.15.1 및 < 0.31.1 (Node.js 및 브라우저 환경)
⚔️ 공격 벡터
maxRedirects=0 설정 시 스트림 요청에서 maxBodyLength 검증을 우회하여 제한을 초과하는 본문 업로드
🛡️ 대응 방법
Axios를 1.15.1 이상 또는 0.31.1 이상으로 업그레이드
🔧 검증 코드
설치된 Axios 버전이 1.15.1 이상(또는 0.31.1 이상)인지 확인하여 취약점 적용 여부 판단
npm list axios 2>/dev/null | grep -E 'axios@[0-9.]+'