What is CVE-2026-67313?
CVE-2026-67313 is an uncontrolled recursion vulnerability in the `formDataToJSON` function of axios versions 0.28.0 and later when processing FormData field names with deeply nested bracket segments. An attacker can supply FormData with thousands of nested brackets to exhaust the JavaScript call stack and trigger a RangeError. Users are advised to upgrade to the latest stable version.
Azərbaycanca: CVE-2026-67313, axios kitabxanasının 0.28.0 və sonrakı versiyalarında `formDataToJSON` funksiyasında dərin iç-içə bracket seqmentləri olan FormData sahə adları emal edilərkən nəzarətsiz rekursiya zəifliyidir. Təcavüzkar minlərlə iç-içə bracket göndərərək JavaScript çağrı yığınını tükədə və `RangeError` yarada bilər. İstifadəçilərə axios-u ən son stabil versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
In which function of the axios library was CVE-2026-67313 discovered?
The vulnerability was discovered in the `formDataToJSON` function.
What outcome can an attacker cause by exploiting this vulnerability?
They can exhaust the JavaScript call stack and trigger a RangeError.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.