JavaScriptの人気ライブラリAxiosで重大な脆弱性（CVE-2025-27152）

JavaScriptの人気ライブラリ Axios（アクシオス）で重大な脆弱性（CVE-2025-27152）が発生しています。公式からPoCも公開されているので対象者はアップデートする事をお勧めします。

脆弱性の対象バージョン

1.7.9 までのすべてのバージョン

脆弱性の対策バージョン

1.8.2以上のバージョン

また、パス パラメータを検証し、Axios リクエストで絶対 URL を使用しないようにすることで、リスクを軽減できます。

脆弱性 CVE-2025-27152 の概要

Axiosは、Node.jsやブラウザ向けに提供されているHTTPクライアントライブラリで、世界中で広く利用されています。今回発見された「CVE-2025-27152」は、Axiosのリクエスト処理における不適切なURLハンドリングが原因です。

Axiosは、baseURLが設定されている場合でも、絶対URLを指定されたリクエストに対してはそのURLにリクエストを送信してしまいます。

これにより、特定の条件下ではセキュリティ制御を回避し、意図しないリソースへのアクセスや不正アクセスへの悪用が可能となってしまいます。

特に影響を受けるユーザー

• baseURLを設定しているが、パスパラメータの検証を行っていないソフトウェア。
• 絶対URLの使用を避けていないシステム。
• 特に内部システムにアクセスするためのAPIクライアントとしてAxiosを使用している場合はリスクが高まります。