🇰🇷 한글 설명
Axios 1.7.0부터 1.15.x 버전은 fetch 어댑터 사용 시 설정된 요청 및 응답 크기 제한(maxContentLength, maxBodyLength)을 제대로 적용하지 않는 취약점이 있습니다. 이로 인해 악의적인 서버나 공격자가 제공한 거대한 데이터로 인해 서버 측에서 리소스 고갈(DOS)이 발생할 수 있습니다.
💡 쉬운 설명
Axios 라이브러리가 설정한 데이터 크기 제한을 무시하고 너무 큰 데이터를 처리하여 서버를 마비시킬 수 있는 문제입니다. 공격자가 큰 데이터를 보내면 서버가 과부하에 빠져 정상적인 서비스를 제공하지 못하게 됩니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Axios versions 1.7.0 through 1.15.x did not enforce configured request and response size limits when requests were sent with the fetch adapter. Applications that selected adapter: 'fetch', or ran in environments where axios resolved to the fetch adapter, could receive or send bodies larger than maxContentLength or maxBodyLength despite those limits being explicitly configured. This can cause resource exhaustion in server-side usage when a malicious or compromised server returns an oversized response, when an attacker can supply a large data: URL, or when an application forwards attacker-controlled request bodies through axios while relying on maxBodyLength as a boundary. This vulnerability is fixed in 0.32.0 and 1.16.0.
📍 영향받는 시스템
Axios 1.7.0 이상 1.15.x 이하 (fetch adapter 사용 환경)
⚔️ 공격 벡터
악성 서버의 과다 응답 또는 공격자가 제공한 대규모 데이터 URL/요청 본문을 통해 리소스 고갈 유발
🛡️ 대응 방법
Axios를 0.32.0 또는 1.16.0 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.16.0 미만 또는 0.32.0 미만인 경우 취약한 버전이 설치되어 있습니다.
npm list axios 2>/dev/null | grep -E 'axios@'