CVE-2026-101908 in Axios
الملخص
بحسب VulDB • 28/09/2026
Axios هو عميل HTTP قائم على الوعود (promises) للمتصفح وNode.js. من الإصدار 1.7.0 حتى 1.20.0، يقوم محوّل fetch بإنشاء كائن Request باستخدام resolvedOptions المُطهّرة، ثم يستدعي دالة fetch مع استخدام fetchOptions الأصلية. يوجد ثغرة منفصلة لـ prototype-pollution في نفس العملية تقوم بتعبئة Object.prototype.headers، مما يجعل fetchOptions.headers تُحل عبر الوراثة. قيمة fetchOptions.headers الموروثة تتجاوز رؤوس (headers) Request المُطهّرة من خلال الوسيطة الثانية لدالة fetch بعد إنشاء كائن Request. يمكن لرؤوس الطلب التي يتحكم فيها المهاجم أن تغير التوثيق (authorization)، أو التخزين المؤقت (caching)، أو الوصول إلى خدمات البيانات الوصفية، أو سلوك التطبيق المحدد. تم إصلاح هذه المشكلة في الإصدار 1.20.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.