🇰🇷 한글 설명
Axios 1.15.1 이전 및 0.31.1 이전 버전에서 responseType: 'stream' 사용 시 maxContentLength 검증이 적용되지 않아, 악의적인 서버로부터 무제한 크기의 응답을 수신할 수 있습니다. 이는 응답 크기 제한을 우회하여 메모리 고갈 공격을 가능하게 합니다.
💡 쉬운 설명
Axios 라이브러리의 스트리밍 기능에서 응답 크기 제한이 작동하지 않아, 공격자가 대용량 데이터로 메모리를 소진시킬 수 있습니다. 1.15.1 또는 0.31.1 이상으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, when responseType: 'stream' is used, Axios returns the response stream without enforcing maxContentLength. This bypasses configured response-size limits and allows unbounded downstream consumption. This vulnerability is fixed in 1.15.1 and 0.31.1.
📍 영향받는 시스템
Axios < 1.15.1 (1.x 시리즈) 및 < 0.31.1 (0.x 시리즈)
⚔️ 공격 벡터
responseType: 'stream' 설정된 Axios 클라이언트에 악의적인 서버가 무제한 크기의 응답을 전송하여 메모리 고갈 유도
🛡️ 대응 방법
Axios를 1.15.1 이상(1.x) 또는 0.31.1 이상(0.x)으로 업그레이드
🔧 검증 코드
출력된 버전이 1.15.1 이상이거나 0.31.1 이상이면 안전, 이하이면 취약
npm list axios 2>/dev/null | grep axios | grep -oE '@[0-9.]+' | cut -d@ -f2