原文

axiosのバージョン1.13.0以上（Node.jsのHTTPアダプター）は、httpVersion: 2でリクエストが送信された場合に、設定されたmaxBodyLength制限をストリームされたリクエストボディに対して適切に強制しません。これは、NodeのHTTP/2リクエストAPIがmaxBodyLengthオプションを尊重せず、axiosのバイト数計測用ストリームラッパーがmaxRedirects === 0の場合にのみ動作するためです。このため、axiosに渡されるストリームを制御できる攻撃者は、設定された有限のmaxBodyLengthを超えるアウトバウンドデータを送信させることが可能です。影響はリソース消費とポリシーバイパス（過剰な送信、上流のクォータ消費、限定的な可用性）に限定されており、コード実行、認証情報漏洩、リクエストの送信先制御は発生しません。デフォルトのmaxBodyLengthが-1およびブラウザアダプターを使用する呼び出しは影響を受けません。