CVE-2025-62718

CVE-2025-62718 betrifft Axios, einen HTTP-Client für Browser und Node.js. Die Schwachstelle liegt in der unzureichenden Hostnamen-Normalisierung bei der Überprüfung von NO_PROXY-Regeln. Dies kann dazu führen, dass Anfragen an Loopback-Adressen wie 'localhost.' oder '[::1]' fälschlicherweise über einen konfigurierten Proxy geleitet werden, anstatt die NO_PROXY-Regeln zu beachten. Die primäre Auswirkung ist ein möglicher Proxy-Bypass und Server-Side Request Forgery (SSRF), wodurch Angreifer sensible interne oder Loopback-Dienste erreichen könnten, die eigentlich geschützt sein sollten.

Mit einem CVSS-Score von 9.9 wird diese Schwachstelle als kritisch eingestuft. Trotz der hohen Kritikalität liegt die Exploit-Wahrscheinlichkeit (EPSS) derzeit bei nur 1%, was auf eine geringe Wahrscheinlichkeit einer aktiven Ausnutzung hindeutet. Die Schwachstelle ist derzeit nicht im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, was ebenfalls darauf hindeutet, dass sie nicht aktiv ausgenutzt wird.

Security-Teams sollten die betroffenen Axios-Installationen priorisiert auf die Versionen 1.15.0 oder 0.31.0 aktualisieren, um diese Schwachstelle zu beheben. Obwohl die EPSS-Werte niedrig sind und die Schwachstelle nicht im KEV-Katalog aufgeführt ist, rechtfertigt der kritische CVSS-Score eine schnelle Behebung, um das Risiko eines Proxy-Bypasses und potenzieller SSRF-Angriffe zu minimieren.