Exécution de code arbitraire à distance affectant Axios
Une vulnérabilité critique affectant Axios permettrait à un acteur malveillant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Axios est une bibliothèque JavaScript permettant d'effectuer facilement des requêtes HTTP, aussi bien dans le navigateur que dans les applications Node.js. Elle sert principalement à communiquer avec des API en simplifiant l'envoi et la réception de données (souvent en JSON), la gestion des erreurs, la configuration des requêtes et l'authentification. C'est l'une des bibliothèques les plus utilisées, avec 100 millions de téléchargements par semaine. Cette solution est affectée par une vulnérabilité libellée CVE-2026-40175, résultant d'un défaut d'assainissement des en-têtes HTTP combiné à la fonctionnalité SSRF (Server-Side Request Forgery) native de la bibliothèque. Son exploitation permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés, voire de compromettre totalement une infrastructure cloud en contournant le mécanisme de protection AWS IMDSv2. Elle est classée critique avec un score de sévérité de 10.0 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité et à la disponibilité des données ;
- Compromission totale des infrastructures cloud.
Systèmes affectés
Produits, composants et versions concernés
- Axios versions antérieures à 1.15.0.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Axios vers la dernière version stable.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.