CVE-2026-25639Disclosure(axios / axios)

🚨Alert🚨 CVE-2026-25639 : High-Severity Axios Flaw Allows Attackers to Trigger DoS and Crash Node.js Servers. 🔥PoC :https://github.com/axios/axios/security/advisories/GHSA-43fc-jf86-j433 📊 373K+ Services are found on the http://hunter.how yearly. 🔗Hunter Link:https://hunter.how/list?searchValue=product.name%3D%22Axios%22 👇Query HUNTER : http://product.name="Axios" 📰Refer:https://securityonline.info/http-down-high-severity-axios-flaw-cvss-7-5-crashes-node-js-servers/ https://gbhackers.com/axios-vulnerability-allows-attackers-to-trigger-dos/ #hunterhow #infosec #infosecurity #OSINT #Vulnerability

@usetraceix This is especially annoying in the nodejs ecosystem, where most "high severity" vulns are the most niche edge cases ever. Like you aren't telling me anyone passes user input to server configs like this (CVE-2026-25639): https://t.co/KG8CJv3tW6

We used Striga to discover a high-severity vulnerability in axios, the most downloaded HTTP client in JavaScript. Any Node.js service that forwards user-controlled JSON through axios can be crashed with a single request. CVE-2026-25639. Patched in 1.13.5. https://www.striga.ai/research/crashing-axios-with-proto

@euboletini @LukeberryPi nope, CVE-2026-25639 https://www.cvedetails.com/vulnerability-list/vendor_id-19831/product_id-54129/version_id-2026580/Axios-Axios-1.12.2.html

📌 ثغرة أمنية في مكتبة Axios تتيح للمهاجمين شن هجمات حجب الخدمة (DoS) وتعطيل خوادم Node.js 🛡️ الفئة: ثغرة 📝 الملخص: تَمّ اكتشاف ثغرة أمنية عالية الخطورة تندرج تحت المعرف CVE-2026-25639 في مكتبة Axios، وهي إحدى أكثر المكتبات استخداماً في بيئة JavaScript. تكمن الثغرة في دالة mergeConfig التي تفشل في معالجة كائنات التكوين التي تحتوي على المفتاح __proto__، مما يؤدي إلى محاولة استدعاء Object.prototype كدالة، وهو ما يسبب خطأً تقنياً (TypeError) يؤدي لانهيار خادم Node.js فوراً. يستهدف الهجوم التطبيقات التي تقبل مدخلات JSON من المستخدمين وتمررها مباشرة إلى إعدادات Axios، مما يمكّن المهاجم من إخراج الخدمة عن العمل بطلب واحد فقط. — يُنصح بتحديث المكتبة إلى الإصدار 1.13.5 فوراً لسد هذه الفجوة الأمنية. 📍 تفاصيل فنية: 🎯 الهدف: تطبيقات Node.js التي تستخدم مكتبة Axios لمعالجة طلبات HTTP. 🧠 التقنية المستخدمة: استغلال خلل في منطق دمج الإعدادات عبر إرسال مفتاح __proto__ خبيث لتوليد خطأ TypeError. 🚨 الإجراء المتخذ: أصدر مطورو المكتبة تصحيحاً أمنياً في النسخة 1.13.5 لمعالجة آلية التعامل مع خصائص الكائنات. 🛑 التوصيات الأمنية: الترقية الفورية للنسخة 1.13.5 والتحقق من صحة مدخلات المستخدم قبل تمريرها لدوال التكوين. 🗓️ تاريخ النشر: 10/02/2026 🔗 للمزيد: https://cybersecuritynews.com/axios-vulnerability/

🚨 WARNING: axios (npm) just got hit with CVE-2026-25639 — CVSS 7.5 HIGH A single JSON payload crashes your entire backend: {"__proto__": {"x": 1}} That's it. If your server parses user input → passes it to axios config → instant DoS. No auth needed. Affects v1.0.0–1.13.4 (basically everyone) 4 high-severity CVEs in the last 12 months: → SSRF + credential leakage → data: URL DoS → form-data predictable boundaries → now prototype key DoS 68M+ weekly npm downloads. This library is in EVERYTHING. Patch: upgrade to 1.13.5 h/t @feross for flagging If you're running a backend that touches user input and uses axios — stop reading and go update. Now.

CVE-2026-25639 Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.13.5, the mergeConfig function in axios crashes with a TypeError when processing configur… https://www.cve.org/CVERecord?id=CVE-2026-25639

@just_andydev yes, the first one was Denial of Service (DoS) Vulnerability in February https://nvd.nist.gov/vuln/detail/CVE-2026-25639

Axios の脆弱性 CVE-2026-25639 が FIX：DoS 攻撃による Node.js サーバ・クラッシュの恐れ https://iototsecnews.jp/2026/02/10/axios-vulnerability-allows-attackers-to-trigger-dos-and-crash-node-js-servers/ Node.js で高いシェアを誇る HTTP ライブラリ Axios に、サーバを停止させる攻撃が可能になる深刻な不備が発見されました。この問題の原因は、Axios が設定情報を統合する mergeConfig という内部機能において、入力されたデータのプロパティ名が適切に検証されないという点にあります。JavaScript には、すべてのオブジェクトの基盤となる “プロトタイプ” という仕組みがありますが、攻撃者が “proto” という特殊な名前を含む JSON データを送信すると、Axios が誤って処理しようとしてシステムに致命的な矛盾が生じます。その結果として、プログラムが耐えきれずに即座にクラッシュしてしまいます。ご利用のチームは、ご注意ください。 #Axios #CVE202625639 #Vulnerability

CVE-2025-12758 CVE-2025-64945 CVE-2026-27699 CVE-2026-27601 CVE-2026-27903 CVE-2026-27904 CVE-2026-26996 CVE-2026-25639 HPESBNW05056 rev.1 - HPE Unified OSS Console Assurance Monitoring (UOCAM), Multiple Vulnerabilities https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05056en_us&docLocale=en_US

🟠 Axios, Prototype Pollution Crash, #CVE-2026-25639 (Medium) https://dailycve.com/axios-prototype-pollution-crash-cve-2026-25639-medium/

Axios Bajo Fuego: CVE-2026-25639 Amenaza con DoS Crítico — El Cable de Seguridad Por Patch Wiresec | La Gaceta Git via @gitgazette https://www.gitgazette.com/gazette/38cfe48c-9ed4-4b10-a99d-c130c2b2d576

🔍 Lambda Watchdog detected that CVE-2026-25639 is no longer present in latest AWS Lambda base image scans. https://github.com/aws/aws-lambda-base-images/issues/407 #AWS #Lambda #Security #CVE #DevOps #SecOps

🚨 Axios CVE-2026-25639 can crash your Node.js app via DoS. If you're vibecoding with Next.js or Cursor, check your package.json now. Upgrade to Axios v1.13.5+ immediately to patch the prototype handling flaw. We scan for this exact risk in VibeShield. 🔐 #NodeJS https://t.co/bVXI2ZKAkD

Axios Vulnerability Allows Attackers to Trigger DoS and Crash Node.js Servers https://gbhackers.com/axios-vulnerability-allows-attackers-to-trigger-dos/ "The vulnerability, tracked as CVE-2026-25639, affects all versions up to and including 1.13.4."