Peticiones de Axios Vulnerables a Posible SSRF y Fuga de Credenciales a través de URL Absoluta

La vulnerabilidad de SSRF en Axios permite a un atacante, mediante la manipulación de URLs absolutas, realizar solicitudes a recursos internos que normalmente no serían accesibles desde el exterior. Esto puede incluir el acceso a archivos de configuración, bases de datos internas, o incluso la ejecución de comandos en el servidor, dependiendo de la configuración y permisos. Un atacante podría, por ejemplo, leer archivos sensibles en el sistema de archivos del servidor o interactuar con servicios internos sin la debida autenticación. La exposición de credenciales o datos internos podría resultar en una brecha de seguridad significativa y comprometer la confidencialidad, integridad y disponibilidad de los sistemas afectados. La vulnerabilidad se agrava por su potencial de ser explotada tanto en aplicaciones del lado del servidor como del cliente.

Applications built with Node.js that utilize the Axios package are at risk. This includes both server-side applications (e.g., REST APIs, backend services) and client-side applications (e.g., web applications using Axios for API calls). Specifically, applications that rely on Axios to interact with internal APIs or resources without proper URL validation are particularly vulnerable.

• nodejs / server:

  npm list axios

• nodejs / server:

  find / -name "node_modules/axios" -print

• generic web: Inspect application code for instances where Axios is used with absolute URLs, particularly when interacting with internal APIs or resources.

1. 2025-03-07Disclosure

   disclosure

1. Reservado2025-02-19
2. Publicada2025-03-07
3. Modificada2026-02-04
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar Axios a la versión 1.8.2 o superior, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar una validación estricta de las URLs proporcionadas por el usuario antes de pasarlas a Axios. Esto puede incluir el uso de una lista blanca de dominios permitidos o la validación del formato de la URL para asegurar que sea relativa al protocolo. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes sospechosas que intenten acceder a recursos internos. La verificación después de la actualización debe incluir la ejecución de pruebas de seguridad para confirmar que la vulnerabilidad ha sido efectivamente mitigada.

Última actualización

1.16.0recientemente