Se ha descubierto una vulnerabilidad de alta gravedad en Axios, una de las bibliotecas de cliente HTTP más populares en el ecosistema de JavaScript.

La vulnerabilidad, registrada como CVE-2026-25639, permite a atacantes remotos provocar una condición de Denegación de Servicio (DoS), haciendo que los servidores Node.js se bloqueen con una sola solicitud maliciosa.

El fallo reside en la función mergeConfig de Axios, que combina diferentes objetos de configuración. El bloqueo ocurre cuando la función procesa un objeto de configuración que contiene __proto__ como clave.

Por defecto, Axios itera sobre las propiedades de configuración para fusionarlas. Sin embargo, si un atacante envía un objeto JSON malicioso que incluya __proto__, la lógica interna falla.

Axios intenta buscar una estrategia de fusión, pero recupera inadvertidamente Object.prototype. El código entonces intenta llamar a este prototipo como si fuera una función.

Dado que Object.prototype es un objeto y no una función, la aplicación lanza un TypeError y se bloquea al instante.

Esto es distinto de las vulnerabilidades de "Contaminación de Prototipos". En este caso, la aplicación se bloquea antes de que se puedan contaminar propiedades.

El vector de ataque es relativamente simple, lo que le otorga una calificación de "Baja" complejidad. Afecta específicamente a aplicaciones que:

Aceptan entrada controlada por el usuario (como un cuerpo JSON). Analizan esa entrada usando JSON.parse(). Pasan el objeto resultante a una configuración de Axios (por ejemplo, axios.get(url, userConfig)).

Al enviar una carga útil como {"__proto__": {"x": 1}}, un atacante puede forzar el cierre del servidor, dejando el servicio fuera de línea para todos los usuarios.

Según un aviso de Axios, el problema afecta a todas las versiones de Axios hasta la 1.13.4, y se insta a los desarrolladores a actualizar a la versión 1.13.5 de inmediato.

Los mantenedores han lanzado un parche en la versión 1.13.5 que maneja correctamente la clave __proto__ para evitar el error de tipo. Debes actualizar tus dependencias usando npm o yarn de inmediato.