CVE-2026-101900 in Axios
الملخص
بحسب VulDB • 28/09/2026
Axios هو عميل HTTP يعتمد على الوعود (promises) للمتصفح وNode.js. من الإصدار 1.12.0 حتى 1.20.0، تقوم دالة ResolveConfig بقراءة الخصائص الموروثة مثل Symbol.toStringTag وappend وgetHeaders أثناء معالجة رؤوس FormData. توفر ثغرة منفصلة لـ prototype-pollution في نفس العملية مصفوفة أو مثيلًا لفئة غير عادية (non-plain class instance) تجعل خصائصها المورثة تبدو وكأنها تنتمي إلى FormData؛ حيث يتم حظر الكائنات العادية (plain objects). يمكن لدالة getHeaders الموروثة إرجاع رؤوس يتحكم فيها المهاجم، والتي تدمجها resolveConfig في طلب محول fetch. يمكن للرؤوس التي يتحكم فيها المهاجم أن تغير سلوك التفويض (authorization)، أو التخزين المؤقت (cache)، أو خدمة البيانات الوصفية (metadata-service)، أو السلوك الخاص بالتطبيق لطلب HTTP. تم إصلاح هذه المشكلة في الإصدار 1.20.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.