🛡 xj1.fr/cve
FICHE CVE

CVE-2026-44492

Publiée le 2026-06-11 · Dernière modification le 2026-09-11

🇫🇷 EN BREF

Les applications utilisant Axios comme client HTTP dans Node.js sont affectées par un contournement des listes d'exclusion de proxy. Un attaquant non authentifié disposant d'un accès réseau peut forcer l'envoi de requêtes vers des services internes que vous souhaitiez bloquer via `NO_PROXY` en utilisant des adresses IPv6 mappées sur IPv4. Cela permet la récupération non autorisée de données sensibles provenant de systèmes internes, et l'attaque est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur.

CVSS 3.18.6 ÉLEVÉE
Type de faiblesse
Falsification de requête côté serveur (SSRF) · CWE-918CWE-289
Publiée2026-06-11
Dernière modification2026-09-11

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurAucune
PortéeModifiée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéAucun
Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios does not normalise IPv4-mapped IPv6 addresses. When NO_PROXY lists an IPv4 address such as 127.0.0.1 or 169.254.169.254, a request URL using the IPv4-mapped IPv6 form (::ffff:7f00:1, ::ffff:a9fe:a9fe) still routes through the configured proxy. Node.js resolves these addresses to the underlying IPv4 host, so the request reaches the internal service via the proxy rather than being blocked. This vulnerability is fixed in 0.32.0 and 1.16.0.