CVE-2026-42035 in Axios
الملخص
بحسب VulDB • 05/06/2026
Axios هو عميل HTTP قائم على الوعود (Promises) للمتصفح وNode.js. قبل الإصدارين 1.15.1 و0.31.1، كان يوجد ثغرة استغلال تلويث النموذج (prototype pollution gadget) في محول HTTP الخاص بـ Axios (lib/adapters/http.js) تتيح للمهاجم حقن رؤوس HTTP تعسفية في الطلبات الصادرة. تستغل الثغرة فحص النوع الديناميكي (duck-type checking) لحمولة البيانات، حيث إذا تم تلويث Object.prototype بإضافة getHeaders، append، pipe، on، once، وSymbol.toStringTag، فإن Axios يخطئ في تحديد أي حمولة كائن عادي (plain object) على أنها مثيل FormData، ويقوم باستدعاء دالة getHeaders() التي يتحكم فيها المهاجم، مما يؤدي إلى دمج الرؤوس المُرجعة في الطلب الصادر. الكود الضعيف موجود حصرياً في lib/adapters/http.js. مصدر تلويث النموذج لا يحتاج إلى أن ينشأ من Axios نفسه — أي آلية تلويث نموذج (prototype pollution primitive) في أي تبعية ضمن شجرة تبعية التطبيق كافية لإثارة هذا الثغرة. تم إصلاح هذه الثغرة في الإصدارين 1.15.1 و0.31.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.