BDU:2026-01948: Уязвимость функции mergeConfig() библиотеки axios, позволяющая нарушителю вызвать отказ в обслуживании путем отправки специально сформированного JSON-файла
Детали уязвимости BDU:2026-01948
Описание
Уязвимость функции mergeConfig() библиотеки axios связана с недостаточной проверкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного JSON-файла
Что делать с BDU:2026-01948
Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAV:N/AC:L/Au:N/C:N/I:N/A:CCWE — тип уязвимости
CVE — международный идентификатор
Программа не обрабатывает нестандартные или ошибочные состояния. Приводит к непредсказуемому поведению.
Как атакуют и что делать ▾
Сценарий атаки
Программа не обрабатывает ошибку при отказе сети, диска, выделении памяти — продолжает работу с некорректным состоянием.
Последствия
Непредсказуемое поведение, повреждение данных, обход проверок безопасности.
Рекомендации
Обрабатывайте все коды ошибок, используйте fail-fast, логируйте нестандартные состояния.
Тактики и техники
Уязвимое ПО (2)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| NPM, Inc. | axios | до 1.13.4 включительно | Не указана |
| АО «СберТех» | Platform V IAM SE | до 2.3.1 | Не указана |
Рекомендации по устранению
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников; - использование SIEM-систем для отслеживания событий, связанных с обработкой JSON-файлов; - использование виртуальных частных сетей для организации удаленного доступа (VPN); - ограничение доступа к системе управления базами данных из внешних сетей (Интернет). Использование рекомендаций: https://github.com/axios/axios/security/advisories/GHSA-43fc-jf86-j433 Для Platform V IAM SE: Обновление до версии Platform V IAM SE 2.3.1
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 7.5
Уточните SLA под вашу среду
Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2026-02-08
Опубликована
2026-02-18
Обновлена
2026-07-23
Эксплойт
Существует в открытом доступе
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость адаптера fetch библиотеки axios, позволяющая нарушителю оказать воздействие на доступность защищаемой информа
Уязвимость модуля shouldBypassProxy.js библиотеки axios, позволяющая нарушителю раскрыть защищаемую информацию
Уязвимость функции formDataToJSON библиотеки axios, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость библиотеки axios, связанная с неконтролируемым изменением атрибутов прототипа объекта, позволяющая нарушителю
Уязвимость библиотеки axios, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю оказать воздействие
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.