CVE-2026-40175
— 神龙十问 AI 深度分析摘要
CVSS 4.8 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
- **本质**：Axios 存在**请求头注入链**漏洞 🚨
- **后果**：可**无限制窃取云元数据** → 敏感信息全泄露 💥
- 攻击可跨作用域影响其他服务 🌐
Q2根本原因？（CWE/缺陷点）
- **根本原因**：**HTTP 请求头注入**缺陷 🔍
- 未正确过滤用户输入 → 构造恶意 Header
- 类似 **CWE-113**（HTTP 响应头注入）思路
Q3影响谁？（版本/组件）
- **影响组件**：Axios（JS HTTP 客户端）📦
- **影响版本**：≤ v1.14.x（v1.15.0 已修复）✅
- 使用 Axios 发起外部请求的应用均可能中招 ⚠️
Q4黑客能干啥？（权限/数据）
- **权限要求**：无需登录 🚪`PR:N`
- **可获数据**：云环境**元数据**（如密钥、凭证）🔑
- 导致**完全控制云资源**风险 💀
Q5利用门槛高吗？（认证/配置）
- **利用门槛**：极低 🟢
- `AV:N`（网络可达）+ `UI:N`（无需交互）
- 无需特殊配置或认证 🧩
Q6有现成Exp吗？（PoC/在野利用）
- **现成 Exp**：暂无公开 PoC 📭
- `pocs` 列表为空 🔍
- 无明确在野利用报告 🕵️
Q7怎么自查？（特征/扫描）
- **自查特征**：检查是否用 Axios ≤ v1.14.x 🔎
- 搜索代码有无**拼接 Header** 逻辑 ⚙️
- 监控异常外部请求（含元数据 URL）📡
Q8官方修了吗？（补丁/缓解）
- **官方已修** ✅
- 见 commit [`3631854`](https://github.com/axios/axios/commit/363185461b90b1b78845dc8a99a1f103d9b122a1) 🛠️
- 发布 v1.15.0 修复 📦
- 安全公告：[GHSA-fvcv-3m26-pcqx](https://github.com/axios/axios/security/advisori…
Q9没补丁咋办？（临时规避）
- **升级 Axios** ≥ v1.15.0 🚀
- 若无法升级：严格过滤用户输入 → 禁自定义 Header 拼接 🚫
- 限制请求目标范围 🌐
Q10急不急？（优先级建议）
- **优先级**：🔥 极高！
- CVSS 3.1：**9.0+**（`C:H/I:H/A:H`）
- 云环境必修 🏃♂️💨
- 早修 = 少丢数据 💡