【早阅】Axios 请求可能存在 SSRF和凭据泄露风险

Axios 请求可能存在 SSRF（服务器端请求伪造）和凭据泄露风险

作者：@jasonsaayman
原文： https://github.com/advisories/GHSA-jr5f-v2jv-69x6

背景

GitHub Advisory Database 最近发布了一个关于 axios 库的高严重性漏洞（CVE-2025-27152）。该漏洞涉及使用绝对 URL 时可能导致服务器端请求伪造（SSRF）和凭证泄露。

axios 是一个广泛使用的 JavaScript 库，用于在浏览器和 Node.js 中发起 HTTP 请求。目前最新版本是V1.8.3。

要点

漏洞描述

当使用绝对 URL 时，axios 会忽略 baseURL 的设置，直接将请求发送到指定的绝对 URL，这可能导致 SSRF 攻击和敏感凭证泄露。

在传递绝对 URL 而不是协议相对 URL 给 Axios 时，即使设置了 baseURL，Axios 仍然会向指定的绝对 URL 发送请求。这可能导致 SSRF（服务器端请求伪造）和凭据泄露。此问题影响 Axios 在服务器端和客户端的使用。

影响范围

所有使用 baseURL 且未对路径参数进行验证的软件都可能受到影响。

修复版本

axios 1.8.2 版本已修复此问题。

【第3234期】fetchLater：JS全新API支持关闭页面时安全发送网络请求

分析

该漏洞的核心问题在于 axios 在处理绝对 URL 时未正确验证 baseURL 。例如，即使设置了 baseURL 为 http://example.test/api/v1/users/ ，如果用户传入的路径参数为 http://attacker.test/ ，axios 会将请求发送到 http://attacker.test/ ，而不是预期的 baseURL 。

请考虑以下代码片段：

 import axios from"axios";

const internalAPIClient = axios.create({
   baseURL:"http://example.test/api/v1/users/",
   headers:{