What is CVE-2026-67317?
CVE-2026-67317 is a vulnerability in axios versions 1.7.0 through 1.18.0 where `maxBodyLength` is not enforced for WHATWG ReadableStream request bodies in the fetch adapter when `Content-Length` cannot be determined. This allows attackers to supply unknown-length stream data, bypassing upload size limits and potentially causing uncontrolled network egress or resource exhaustion. Upgrading axios to version 1.18.0 or later is recommended.
Azərbaycanca: CVE-2026-67317, axios kitabxanasının 1.7.0 ilə 1.18.0 arası versiyalarında WHATWG ReadableStream istifadə edərkən `maxBodyLength` məhdudiyyətinin düzgün tətbiq edilməməsi ilə bağlı zəiflikdir. Xüsusilə `fetch adapter` ilə `Content-Length` təyin olunmayan yükləmələrdə hücumçular yükləmə ölçü limitlərini keçərək nəzarətsiz şəbəkə trafiki və ya resurs tükənməsinə səbəb ola bilər. Bu zəiflikdən qorunmaq üçün axios-i ən az 1.18.0 versiyasına yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
Which versions of axios are affected by CVE-2026-67317?
CVE-2026-67317 affects axios versions 1.7.0 through 1.18.0.
Under what condition does this vulnerability allow upload size limits to be bypassed?
This vulnerability allows upload size limits to be bypassed when using WHATWG ReadableStream request bodies in the fetch adapter without a defined Content-Length, as maxBodyLength is not properly enforced.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.