FICHE CVE

CVE-2026-42043

Publiée le 2026-04-24 · Dernière modification le 2026-09-10

🇫🇷 EN BREF

Les applications utilisant Axios pour les requêtes HTTP sont vulnérables à un contournement de proxy si un attaquant peut contrôler l'URL cible. En utilisant des adresses internes spécifiques dans la plage 127.0.0.0/8, un attaquant distant peut contourner les paramètres `NO_PROXY` pour accéder à des services internes qui devraient être restreints. Cette action peut être exécutée via le réseau sans aucune authentification ni interaction de l'utilisateur.

CVSS 3.17.2 ÉLEVÉE

Type de faiblesse

Publiée2026-04-24

Dernière modification2026-09-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, an attacker who can influence the target URL of an Axios request can use any address in the 127.0.0.0/8 range (other than 127.0.0.1) to completely bypass the NO_PROXY protection. This vulnerability is due to an incomplete for CVE-2025-62718, This vulnerability is fixed in 1.15.1 and 0.31.1.