CVE-2026-42043: Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0

Severity: critical (CVSS 10.0 v3.1)
Exploited in the wild: not listed in CISA KEV
EPSS: 0.7% probability of exploitation in the next 30 days
Public exploit or detection template: yes
Published: 2026-04-24 · updated 2026-09-10
Weakness: CWE-183

Description

Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, an attacker who can influence the target URL of an Axios request can use any address in the 127.0.0.0/8 range (other than 127.0.0.1) to completely bypass the NO_PROXY protection. This vulnerability is due to an incomplete for CVE-2025-62718, This vulnerability is fixed in 1.15.1 and 0.31.1.

Summary

Axios versions before 1.15.1 and 0.31.1 contain an incomplete fix for CVE-2025-62718: an attacker who can influence a request's target URL can use any address in the 127.0.0.0/8 loopback range other than 127.0.0.1 to fully bypass NO_PROXY protection. This can expose internal services to requests that should have been blocked, and the flaw is rated critical (CVSS 10). A public exploit or detection template exists, though it is not in CISA KEV and EPSS estimates a 0.7% chance of exploitation in 30 days. Upgrade to Axios 1.15.1 or 0.31.1; if you cannot patch immediately, restrict or validate request target URLs and avoid relying on NO_PROXY alone for loopback protection.

تحتوي إصدارات Axios الأقدم من 1.15.1 و0.31.1 على إصلاح غير مكتمل للثغرة CVE-2025-62718، إذ يستطيع المهاجم الذي يتحكم في عنوان URL المستهدف للطلب استخدام أي عنوان ضمن نطاق الحلقة المحلية 127.0.0.0/8 غير 127.0.0.1 لتجاوز حماية NO_PROXY بالكامل. وقد يؤدي ذلك إلى تعريض الخدمات الداخلية لطلبات كان يجب حجبها، وصُنّفت الثغرة حرجة (CVSS 10). يتوفر استغلال عام أو قالب كشف، رغم أنها ليست في CISA KEV وتقدّر EPSS احتمال الاستغلال خلال 30 يوماً بنسبة 0.7%. الحل هو الترقية إلى Axios 1.15.1 أو 0.31.1، وفي حال تعذّر الترقية الفوري يُنصح بتقييد عناوين URL المستهدفة والتحقق منها وعدم الاعتماد على NO_PROXY وحدها لحماية نطاق الحلقة المحلية.

Affected products

axios: before 0.31.1; from 1.0.0 before 1.15.1 — fixed in 0.31.1, 1.15.1
Npm Axios: from 1.0.0 before 1.15.1; before 0.31.1 — fixed in 1.15.1, 0.31.1

How to fix

Upgrade to a fixed version: axios 0.31.1, 1.15.1; Npm Axios 1.15.1, 0.31.1. Check the vendor advisory for mitigations.

References

Get alerted when CVE-2026-42043 or the next vulnerability affects your stack