What is CVE-2026-67312?
axios versions 0.28.0-0.33.0 and 1.0.0-1.18.0 contain uncontrolled recursion in the formDataToJSON function when processing attacker-controlled FormData with Content-Type: application/json. This can lead to denial-of-service (DoS). Users should upgrade to patched versions 0.33.0+ or 1.18.0+ immediately.
Azərbaycanca: axios kitabxanasının 0.28.0-0.33.0 və 1.0.0-1.18.0 versiyaları `formDataToJSON` funksiyasında idarəolunmaz rekursiya zəifliyinə məruz qalır. Təcavüzkar xüsusi hazırlanmış `FormData` göndərərək `Content-Type: application/json` istifadəsi zamanı serverdə xidmət dayanmasına (DoS) səbəb ola bilər. Təsirlənən versiyaları istifadə edən tərtibatçılar dərhal ən son yamalanmış versiyaya (0.33.0+ və ya 1.18.0+) yeniləməlidir.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
Which versions of the axios library are affected by CVE-2026-67312?
Versions 0.28.0 through 0.33.0 and 1.0.0 through 1.18.0 of axios are affected by this vulnerability.
How can CVE-2026-67312 be exploited?
An attacker can send specially crafted `FormData` with the `Content-Type: application/json` header to trigger uncontrolled recursion in the `formDataToJSON` function, leading to a denial-of-service (DoS) on the server.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.