リモートホストにインストールされている axios Node.js モジュールのバージョンは 0.32.0 より前、または 1.16.0 より前の 1.x です。したがって、以下の脆弱性の影響を受けます。

  - shouldBypassProxy は、CVE-2025-62718 を修正するために v1.15.0 で導入されましたが、IPv4 にマッピングされた IPv6 アドレスを正規化しません。NO_PROXY が 127.0.0.1 や 169.254.169.254 などの IPv4 アドレスを指定している場合でも、IPv4 にマッピングされた IPv6 形式を使用するリクエスト URL は、設定されたプロキシ経由でルーティングされます。Node.js はこれらのアドレスを基盤となる IPv4 ホストに解決するため、リクエストはブロックされず、プロキシ経由で内部サービスに到達します。(CVE-2026-44492)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js axios モジュール < 0.32.0 / 1.x < 1.16.0 における NO_PROXY バイパス (SSRF)

high Nessus プラグイン ID 318801

バージョン 1.1