CVE-2026-67315
Publiée le 2026-08-01 · Dernière modification le 2026-09-01
Les applications utilisant le client HTTP axios (versions 0.31.0–0.32.x ou 1.15.0–1.17.x) sont vulnérables à un contournement de proxy. Un attaquant distant non authentifié peut fournir une URL utilisant l'adresse `0.0.0.0` pour forcer le passage d'une requête par un proxy, permettant potentiellement d'accéder à des services locaux internes qui étaient censés être restreints par vos paramètres `NO_PROXY`. Cette opération est relativement facile à exécuter via un accès réseau, à condition que l'application accepte des URL fournies par l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
axios versions 0.31.0 before 0.33.0 and 1.15.0 before 1.18.0 fail to recognize 0.0.0.0 as a loopback address in shouldBypassProxy.js, allowing requests to 0.0.0.0 to bypass NO_PROXY rules. Attackers can supply 0.0.0.0 URLs to route requests through configured proxies, potentially exposing local services when the proxy can reach the destination.