JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031488 axiosのバージョン1.13.0以上（Node.jsのHTTPアダプター）は、httpVersion: 2でリクエストが送信された場合に、設定されたmaxBodyLength制限をストリームされたリクエストボディに対して適切に強制しません。これは、NodeのHTTP/2リクエストAPIがmaxBodyLengthオプションを尊重せず、axiosのバイト数計測用ストリームラッパーがmaxRedirects === 0の場合にのみ動作するためです。このため、axiosに渡されるストリームを制御できる攻撃者は、設定された有限のmaxBodyLengthを超えるアウトバウンドデータを送信させることが可能です。影響はリソース消費とポリシーバイパス（過剰な送信、上流のクォータ消費、限定的な可用性）に限定されており、コード実行、認証情報漏洩、リクエストの送信先制御は発生しません。デフォルトのmaxBodyLengthが-1およびブラウザアダプターを使用する呼び出しは影響を受けません。 cpe:/a:axios:axios https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031488.html Common Vulnerabilities and Exposures (CVE) CVE-2026-67318 https://www.cve.org/CVERecord?id=CVE-2026-67318 National Vulnerability Database (NVD) CVE-2026-67318 https://nvd.nist.gov/vuln/detail/CVE-2026-67318 GitHub HTTP/2 streamed uploads bypass `maxBodyLength` Advisory axios/axios GitHub https://github.com/axios/axios/security/advisories/GHSA-mwf2-3pr3-8698 JVNDB CWE-400 https://cwe.mitre.org/data/definitions/400.html VulnCheck axios 1.13.0 before 1.18.0 maxBodyLength Bypass via HTTP/2 | Advisories | VulnCheck https://www.vulncheck.com/advisories/axios-before-maxbodylength-bypass-via-http-2 2026-09-02T14:50:26+09:00 2026-09-02T14:50:26+09:00