用户希望我总结提供的GitHub Pull Request截图中的漏洞信息。 我需要提取以下关键信息： 1. 漏洞概述：标题和描述部分。 2. 影响范围：受影响的组件、版本（如果有提及）、具体的攻击向量。 3. 修复方案：代码中的具体修改逻辑。 4. POC/利用代码：检查是否有具体的攻击代码块。 分析截图内容： 标题: 关键词：unrestricted cloud metadata exfiltration (不受限制的云元数据外泄), header injection chain (头注入链). Summary (摘要): Blocks CRLF header injection chains that could exfiltrate cloud metadata by rejecting invalid header values. Also hardens error stack merging logic in Axios. 翻译：通过拒绝无效的头值，阻止可能导致云元数据外泄的CRLF头注入链。同时加固了Axios中的错误堆栈合并逻辑。 Description (描述): Summary of changes: Added in AxiosHeaders to throw on or in any header value. Enforced validation on all header-set paths. Reasoning: CRLF-enabled header splitting could be chained to access IMDS and leak metadata. Docs: User-provided header values must not include CR or LF. Testing: Added tests for browser adapter, node fetch adapter, node http adapter, AxiosHeaders. Comments: 提到 函数开始抛出错误，这是一个破坏性变化。 回应说这是一个低风险问题，99%的用户不受影响，并计划添加显式的 opt-out 机制。 建议提供两种模式： (默认替换为空格) 和 (抛出错误)。 同意这个建议。 提供了 RFC 9110 关于 HTTP 字段值的语法定义，并给出了 和 的代码示例。 表示将尽快实现，并计划发布一个修复版本。 提取关键信息： 漏洞概述: Axios 存在不受限制的云元数据外泄漏洞，攻击者可以通过构建包含 CRLF ( , ) 的头部注入链来访问 IMDS (实例元数据服务) 并泄露元数据。此外，Axios 的错误堆栈合并逻辑也被加固。 影响范围: Axios 库。主要影响涉及 HTTP 请求头部处理的场景。 修复方案: 1. 在 中添加了 函数，用于检查头部值是否包含 或 ，如果包含则抛出错误。 2. 在所有设置头部的路径上强制执行此验证。 3. 针对 的破坏性变化，计划在未来版本中提供 (宽松模式) 和 (严格模式) 两种选项，允许用户选择是否严格检查头部值。 POC/利用代码: 截图中没有包含具体的攻击代码块（POC），主要是关于修复逻辑的代码片段（如 的伪代码或逻辑描述）以及 RFC 9110 的引用。 构建Markdown响应： 漏洞概述: 标题直接引用。 影响范围: 提到 Axios 库，以及 CRLF 注入链攻击 IMDS。 修复方案: 总结摘要和描述中的改动。 POC: 说明无。 润色语言: 确保简洁、专业。 漏洞概述: 标题： 。这是一个关于 Axios 库的安全修复，旨在阻止通过 CRLF 头部注入链进行云元数据外泄的攻击。 影响范围: 涉及 Axios 库中处理 HTTP 请求头部的逻辑。攻击者利用 CRLF ( , ) 字符在头部值中进行链式注入，从而访问 IMDS (实例元数据服务) 并泄露敏感元数据。 修复方案: 1. 添加验证函数: 在 中新增 函数，用于检测头部值中是否包含 或 字符，若存在则抛出错误。 2. 强制执行验证: 在所有设置头部的路径上强制执行此验证。 3. API 兼容性改进: 针对 函数抛出错误的破坏性变化，计划在未来版本中提供 (宽松模式，默认替换非法字符) 和 (严格模式，抛出错误) 两种选项，以便用户根据需求选择。 检查是否有遗漏。截图底部有一些关于 和 的代码片段，这是 提供的建议代码，不是漏洞利用代码，而是修复建议。所以 POC 部分确实没有。 最终输出结构确认。 漏洞概述 标题: 这是一个针对 Axios 库的安全修复，旨在阻止攻击者通过构建包含 CRLF ( , ) 的头部注入链来访问 IMDS (实例元数据服务) 并泄露云元数据。此外，该修复还加固了 Axios 中的错误堆栈合并逻辑。 影响范围 受影响组件: Axios 库。 攻击向量: 攻击者利用 CRLF 字符在 HTTP 请求头部值中进行链式注入（Header Injection Chain），绕过验证并访问元数据服务。 文档说明: 用户提供的头部值必须不包含回车符 (CR) 或换行符 (LF)。 修复方案 1. 添加头部值验证: 在 中新增 函数。该函数会检查头部值中是否包含 或 字符，如果包含则抛出错误。 2. 强制执行验证: 在所有设置头部的路径上强制执行上述验证。 3. 提供模式选项: 针对 函数抛出错误的破坏性变化，计划在未来版本中提供两种模式供用户选择： Loose (宽松模式): 默认行为，将非法字符替换为空格。 Strict (严格模式): 抛出错误，拒绝非法头部。 POC/利用代码 截图中未包含具体的漏洞利用代码（POC），仅包含修复逻辑的代码片段（如 的逻辑描述）以及 RFC 9110 关于 HTTP 字段值语法的引用。