CẢNH BÁO BẢO MẬT: Lỗ hổng nghiêm trọng CVE-2026-40175 trong Axios

1. Thông tin chung về lỗ hổng CVE-2026-40175

Vào tháng 04/2026, một lỗ hổng bảo mật mức độ Chí tử (Critical) đã được phát hiện trong thư viện Axios, mã định danh là CVE-2026-40175. Với điểm số CVSS 9.9, đây là một trong những lỗ hổng nguy hiểm nhất tác động đến hệ sinh thái Node.js trong năm nay.

Lỗ hổng này thuộc loại Header Injection thông qua kỹ thuật Gadget Chain. Kẻ tấn công có thể lợi dụng lỗi Prototype Pollution từ các thư viện đi kèm để chèn các ký tự điều khiển HTTP (CRLF) vào header của yêu cầu gửi đi.

2. Tại sao lỗ hổng này lại nguy hiểm?

Việc kiểm soát được HTTP Header cho phép kẻ tấn công thực hiện các hành vi phá hoại cực kỳ nghiêm trọng:

• Tấn công Cloud Metadata (SSRF): Vượt qua các lớp bảo mật như AWS IMDSv2 để lấy cắp thông tin định danh (Credentials) của server Cloud.

• Request Smuggling: Chia nhỏ gói tin HTTP để gửi các yêu cầu trái phép tới hệ thống nội bộ mà không đi qua Firewall.

• Remote Code Execution (RCE): Trong một số cấu hình server cụ thể, việc chèn mã độc vào Header có thể dẫn đến thực thi lệnh từ xa trên máy chủ.

3. Các phiên bản bị ảnh hưởng

Bạn cần kiểm tra ngay file package.json hoặc yarn.lock để xác định phiên bản đang sử dụng:

4. Hướng dẫn khắc phục khẩn cấp

Để bảo vệ ứng dụng, hãy thực hiện các ### bước sau ngay lập tức:

Bước 1: Cập nhật thư viện lên bản vá mới nhất

Sử dụng terminal và chạy lệnh sau tại thư mục gốc của dự án:

#Đối với npm

npm install axios@latest

#Đối với yarn

yarn add axios@latest

Bước 2: Rà soát toàn bộ Dependency

Vì đây là lỗi dạng chuỗi, bạn cần đảm bảo các thư viện xử lý object khác cũng an toàn:

npm audit fix

Bước 3: Kiểm soát dữ liệu đầu vào (Sanitization)

Tuyệt đối không truyền trực tiếp dữ liệu từ người dùng (User Input) vào các thuộc tính headers của Axios mà không qua bộ lọc ký tự đặc biệt như \r và \n.

Kết luận

Bảo mật là trách nhiệm hàng đầu của mỗi lập trình viên. Đừng để hệ thống của bạn trở thành mục tiêu chỉ vì một thư viện lỗi thời. Hãy thực hiện cập nhật ngay và chia sẻ thông tin này tới cộng đồng.

Thông tin liên hệ:

• Website: Công ty cổ phần công nghệ ICI

• Email hỗ trợ: contact@icitech.net

• Điện thoại: +84 356 087 075