JVNDB-2026-031488

axios projectのaxiosにおけるリソースの枯渇に関する脆弱性

axiosのバージョン1.13.0以上（Node.jsのHTTPアダプター）は、httpVersion: 2でリクエストが送信された場合に、設定されたmaxBodyLength制限をストリームされたリクエストボディに対して適切に強制しません。これは、NodeのHTTP/2リクエストAPIがmaxBodyLengthオプションを尊重せず、axiosのバイト数計測用ストリームラッパーがmaxRedirects === 0の場合にのみ動作するためです。このため、axiosに渡されるストリームを制御できる攻撃者は、設定された有限のmaxBodyLengthを超えるアウトバウンドデータを送信させることが可能です。影響はリソース消費とポリシーバイパス（過剰な送信、上流のクォータ消費、限定的な可用性）に限定されており、コード実行、認証情報漏洩、リクエストの送信先制御は発生しません。デフォルトのmaxBodyLengthが-1およびブラウザアダプターを使用する呼び出しは影響を受けません。

axios project

• axios 1.13.0 以上 1.18.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : HTTP/2 streamed uploads bypass `maxBodyLength`  Advisory  axios/axios  GitHub

VulnCheck

• VulnCheck : axios 1.13.0 before 1.18.0 maxBodyLength Bypass via HTTP/2  | Advisories | VulnCheck

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-67318

1. National Vulnerability Database (NVD) : CVE-2026-67318

• [2026年09月02日]
    掲載