JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031494 axiosのバージョン0.28.0から0.33.0未満、および1.0.0から1.18.0未満には、formDataToJSON（axios.formToJSON()として公開され、Content-Type: application/jsonでFormDataをシリアライズする際に内部的に使用される）に制御されていない再帰処理の脆弱性があります。攻撃者が制御するFormDataのフィールド名をアプリケーションが受け取った場合、何千ものネストされたブラケット区切りセグメントを含むフィールド名が、buildPath()関数内で無制限の再帰を引き起こし、JavaScriptのコールスタックを枯渇させます（RangeError: Maximum call stack size exceeded）。これにより、そのリクエストに対するサービス拒否（DoS）が発生したり、適切なエラーハンドリングがないアプリケーションではプロセスが終了したりします。 cpe:/a:axios:axios https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031494.html Common Vulnerabilities and Exposures (CVE) CVE-2026-67312 https://www.cve.org/CVERecord?id=CVE-2026-67312 National Vulnerability Database (NVD) CVE-2026-67312 https://nvd.nist.gov/vuln/detail/CVE-2026-67312 GitHub Deep formToJSON Key Recursion Can Cause Denial of Service Advisory axios/axios GitHub https://github.com/axios/axios/security/advisories/GHSA-pmv8-rq9r-6j72 JVNDB CWE-400 https://cwe.mitre.org/data/definitions/400.html VulnCheck axios 0.28.0 before 0.33.0 Denial of Service via formToJSON | Advisories | VulnCheck https://www.vulncheck.com/advisories/axios-before-denial-of-service-via-formtojson 2026-09-02T14:50:46+09:00 2026-09-02T14:50:46+09:00