There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, toFormData
    recursively walks nested objects with no depth limit, so a deeply nested value passed as request data
    crashes the Node.js process with a RangeError. This vulnerability is fixed in 1.15.1 and 0.31.1.
    (CVE-2026-42039)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Axios 是瀏覽器和Node.js的基於承諾HTTP客戶端。在 1.15.1 和 0.31.1之前，toFormData 會以遞迴方式遍歷沒有深度限制的巢狀物件，因此作為要求資料傳遞的深度巢狀值會因 RangeError 而使Node.js程序損毀。此弱點已在 和 0.31.1中1.15.1修正。
    (CVE-2026-42039)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Axios 是基于 Promise 的 HTTP 客户端，用于浏览器和Node.js。在 1.15.1 和 0.31.1之前，toFormData 以递归方式遍历没有深度限制的嵌套对象，因此作为请求数据传递的深度嵌套值会导致 Node.js 进程崩溃，造成 RangeError。此漏洞在 1.15.1 和 0.31.1中修复。
    (CVE-2026-42039)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 Node.js 模組為 1.15.1 之前的版本，因此，會受到多個弱點影響：

  - axios 中的原型污染小工具允許響應篡改、數據洩露和請求劫持。
    (CVE-2026-42033)

  - 當 maxRedirects 設定為 0 時，Axios 的 HTTP 轉接器串流上傳會繞過 maxBodyLength。（CVE-2026-42034）

  - 透過 axios 中的原型污染進行標頭注入。（CVE-2026-42035）

  - Axios HTTP 轉接器串流回應會繞過 maxContentLength。（CVE-2026-42036）

  - 透過 IP 別名繞過 Axios no_proxy 允許 SSRF。（CVE-2026-42038）

  - toFormData 中的無限遞迴會透過深度巢狀要求資料造成拒絕服務。（CVE-2026-42039）

  - 不CVE-2025-62718完整的修復 - 透過 axios 1.15.0中的 RFC 1122 回送子網路 （127.0.0.0/8） 繞過的 NO_PROXY 保護。（CVE-2026-42043）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている axios Node.js モジュールのバージョンは、1.15.1 より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - axios のプロトタイプ汚染ガジェットにより、応答の改ざん、データ漏洩、リクエストのハイジャックが可能になります。
    (CVE-2026-42033)

  - maxRedirects が 0 に設定されている場合、Axios の HTTP アダプターストリームアップロードが maxBodyLength をバイパスします。(CVE-2026-42034)

  - axios のプロトタイプ汚染によるヘッダーインジェクション。(CVE-2026-42035)

  - Axios HTTP アダプターのストリームされた応答が maxContentLength をバイパスします。(CVE-2026-42036)

  - IP エイリアス経由の Axios no_proxy バイパスにより、SSRF が引き起こされる可能性があります。(CVE-2026-42038)

  - toFormData の無制限の再帰により、深くネストされたリクエストデータを介してサービス拒否が発生します。(CVE-2026-42039)

  - CVE-2025-62718 に対する不完全な修正 - axios 1.15.0 の RFC 1122 ループバックサブネット (127.0.0.0/8) を介して NO_PROXY 保護がバイパスされました。(CVE-2026-42043)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程主机上安装的 axios Node.js 模块的版本低于 1.15.1。因此，该应用程序受到多个漏洞的影响：

  - axios 中的原型污染小工具允许响应篡改、数据渗漏和请求劫持。
    (CVE-2026-42033)

  - 当 maxRedirects 设置为 0 时，Axios 的 HTTP 适配器流式上传绕过 maxBodyLength。（CVE-2026-42034）

  - 通过 axios 中的原型污染进行标头注入。（CVE-2026-42035）

  - Axios HTTP 适配器流式响应绕过 maxContentLength。（CVE-2026-42036）

  - 通过 IP 别名绕过 Axios no_proxy 允许 SSRF。（CVE-2026-42038）

  - toFormData 中不受限制的递归可通过深度嵌套的请求数据造成拒绝服务。（CVE-2026-42039）

  - 不CVE-2025-62718完整的修复 - 通过 axios 1.15.0中的 RFC 1122 环回子网 （127.0.0.0/8） 绕过保护NO_PROXY保护。（CVE-2026-42043）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Axios は、ブラウザおよび Node.js 用の Promise ベースの HTTP クライアントです。1.15.1と0.31.1の前は、toFormDataはネストされたオブジェクトを深さ制限なしで再帰的にウォークするため、リクエストデータとして渡される深くネストされた値は、RangeErrorでNode.jsプロセスをクラッシュします。この脆弱性は、 1.15.1 および 0.31.1 で修正されています。
    (CVE-2026-42039)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, toFormData     recursively walks nested objects with no depth limit, so a deeply nested value passed as request data     crashes the Node.js process with a RangeError. This vulnerability is fixed in 1.15.1 and 0.31.1.
    (CVE-2026-42039)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of the axios Node.js module installed on the remote host is prior to 1.15.1. It is, therefore, affected by multiple vulnerabilities:

  - Prototype pollution gadgets in axios allow response tampering, data exfiltration, and request hijacking.
    (CVE-2026-42033)

  - Axios' HTTP adapter-streamed uploads bypass maxBodyLength when maxRedirects is set to 0. (CVE-2026-42034)

  - Header injection via prototype pollution in axios. (CVE-2026-42035)

  - Axios HTTP adapter streamed responses bypass maxContentLength. (CVE-2026-42036)

  - Axios no_proxy bypass via IP alias allows SSRF. (CVE-2026-42038)

  - Unbounded recursion in toFormData causes denial of service via deeply nested request data. (CVE-2026-42039)

  - Incomplete fix for CVE-2025-62718 - NO_PROXY protection bypassed via RFC 1122 loopback subnet (127.0.0.0/8)     in axios 1.15.0. (CVE-2026-42043)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
441068	SCA: security update for axios (GHSA-62hf-57xw-28j9)	Tenable Self-Hosted Container Security	SCA Checks	5/5/2026	7/2/2026	medium
441068	SCA: security update for axios (GHSA-62hf-57xw-28j9)	Tenable Cloud Security	SCA Checks	5/5/2026	7/2/2026	medium
310457	Linux Distros 未修補的弱點：CVE-2026-42039	Nessus	Misc.	4/27/2026	9/2/2026	medium
310457	Linux Distros 未修补的漏洞：CVE-2026-42039	Nessus	Misc.	4/27/2026	9/2/2026	medium
313224	Node.js Module axios < 1.15.1 多個弱點	Nessus	Misc.	5/8/2026	5/21/2026	medium
313224	Node.js Module axios < 1.15.1 の複数の脆弱性	Nessus	Misc.	5/8/2026	5/21/2026	medium
313224	Node.js Module axios < 1.15.1 多个漏洞	Nessus	Misc.	5/8/2026	5/21/2026	medium
310457	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42039	Nessus	Misc.	4/27/2026	9/2/2026	medium
310457	Linux Distros Unpatched Vulnerability : CVE-2026-42039	Nessus	Misc.	4/27/2026	9/2/2026	medium
313224	Node.js Module axios < 1.15.1 Multiple Vulnerabilities	Nessus	Misc.	5/8/2026	5/21/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium