Уязвимость в Axios: риск SSRF и утечки учеток для миллионов юзеров

Уязвимость в Axios: риск SSRF и утечки учеток для миллионов юзеров

Уязвимость в Axios: риск SSRF и утечки учеток для миллионов юзеров

Опубликована PoC-атака на уязвимость, выявленную прошлым летом в HTTP-клиенте Axios. Эксплойт грозит подменой запросов на стороне сервера (SSRF) и кражей конфиденциальных данных; патч вышел в составе сборки 1.8.2.

Ввиду большой популярности Axios (до 250 млн загрузок в месяц) проблема CVE-2025-27152 предоставляет широкие возможности для злоупотреблений.

Уязвимость проявляется при обработке абсолютных URL в пользовательском вводе. Даже в тех случаях, когда в настройках выставлен baseURL, Axios проигнорирует это и отправит запрос, используя полный адрес ресурса.

В результате возникла угроза обхода защиты и несанкционированного доступа к ресурсам. В случае атаки подобный недочет позволяет через SSRF обращаться к другим внутренним хостам в целевой сети, а также спровоцировать утечку учеток и API-ключей, вставляемых в заголовки запросов.

Уязвимости подвержены экземпляры Axios сборок 1.7.9 и ниже, вне зависимости от того, как они работают — на стороне сервера или клиента. Пользователям настоятельно рекомендуется обновить JavaScript-библиотеку до версии 1.8.2 или выше; риск эксплойта можно снизить вводом проверки пути поиска ресурса и запрета на использование абсолютных URL в запросах.

Подпишитесь на новости

Банк России усиливает контроль наличных: скопленное придётся подтвердить

Принести в банк крупную сумму и заявить, что давно копил может оказаться недостаточно. Банк России рекомендовал банкам проверять происхождение наличных при операциях граждан от 5 млн рублей (за один раз или суммарно за календарный месяц). Особое внимание будут уделять операциям, нетипичным для обычных расчётов человека.

Как объяснил Банк России, кредитным организациям надо помешать выводу теневой наличности в легальный оборот. Регулятор утверждает, что меры затрагивают узкий круг клиентов.

Рекомендации охватывают переводы наличными без открытия счёта, обмен валюты, покупку слитков, драгоценных монет и обработанных природных алмазов.

Подтверждать источник денег банкам рекомендуют до операции. Для этого пригодятся справки о доходах, договор продажи имущества, документы о наследстве или дарении.

Если подтверждающие сведения у банка уже есть и объёмы операций существенно не выросли, рекомендации допускают исключение. Дробление сумм ради обхода проверки, наоборот, может вызвать дополнительные подозрения.

Параллельно ЦБ отчитался о снижении жалоб на кибермошенников: за январь — сентябрь 2026 года их стало на 34,1% меньше, чем годом ранее. Число случаев, когда аферисты убеждали людей перевести деньги или раскрыть данные, по сообщению регулятора, сократилось на 44,8%.

Зато основные претензии банковских клиентов теперь связаны с отказами в операциях и ограничениями по счетам. Хотя, по данным проверок ЦБ, необоснованных ограничений стало заметно меньше.

RSS: Новости на портале Anti-Malware.ru