🇰🇷 한글 설명
Axios는 XSRF 쿠키 이름을 정규식으로 빌드할 때 메타문자를 이스케이프하지 않아 Regular Expression Denial of Service(ReDoS) 취약점이 발생합니다. 공격자가 쿠키 이름을 조작하면 브라우저 탭이 멈추는 등 가용성이 저하될 수 있습니다.
💡 쉬운 설명
Axios 라이브러리에서 쿠키 이름을 처리하는 과정에서 보안 허점이 발견되었습니다. 해커가 이를 악용하면 웹 브라우저가 멈추거나 매우 느려질 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Axios versions before 0.32.0 on the 0.x line and before 1.16.0 on the 1.x line build a regular expression from the configured XSRF cookie name without escaping regex metacharacters. In standard browser environments, an attacker who can influence the cookie name passed to axios can cause expensive regex backtracking while axios reads document.cookie. The practical impact is client-side availability degradation, such as freezing the affected browser tab while axios prepares a request. The issue does not affect ordinary Node.js HTTP adapter usage, React Native, or web workers, where axios does not read document.cookie. This vulnerability is fixed in 0.32.0 and 1.16.0.
📍 영향받는 시스템
Axios 0.x 라인에서 0.32.0 미만, 1.x 라인에서 1.16.0 미만 버전
⚔️ 공격 벡터
공격자가 axios에 전달되는 XSRF 쿠키 이름을 조작하여 비효율적인 정규식 매칭을 유발
🛡️ 대응 방법
Axios를 0.32.0 또는 1.16.0 이상으로 업그레이드하여 취약점을 해결하세요.
🔧 검증 코드
출력된 버전이 0.32.0 미만 또는 1.16.0 미만인 경우 취약한 버전으로 판단해야 합니다.
npm list axios 2>/dev/null | grep axios