CVE-2026-67314 in axios
الملخص
بحسب VulDB • 01/08/2026
تحتوي إصدارات axios >=1.15.2 و <1.18.0 على أدوات قراءة (gadgets) مرتبطة بتلوث النموذج الأولي (prototype-pollution read-side gadgets) في معالجة الحقل الفرعي للمصادقة الأساسية (Basic auth subfield handling) داخل الملفات lib/adapters/http.js وlib/helpers/resolveConfig.js. عندما يكون التطبيق متأثراً بالفعل بآلية تلوث نموذج أولي منفصلة، ويقوم بإجراء طلب axios باستخدام كائن مصادقة خاص به يتجاهل خصائص اسم المستخدم وكلمة المرور على التوالي أو كليهما، فإن axios يقرأ قيم Object.prototype.username وObject.prototype.password الموروثة ويستخدمها لبناء رأس 'Authorization: Basic ...' للطلب الصادر. لا تقوم axios نفسها بتلوث النماذج الأولية (prototypes). يتمثل الأثر العملي في التلاعب بالطلبات الصادرة: حيث يمكن لمهاجم يتحكم في القيم الملثومة للنموذج الأولي حقن بيانات اعتماد مصادقة أساسية يختارها المهاجم أو استبدال رأس Authorization الموجود. لا يكون كشف البيانات الاعتماد ممكنًا إلا تحت ظروف إضافية محددة بتطبيق معين.
If you want to get best quality of vulnerability data, you may have to visit VulDB.