CVE-2026-67316 in axios
الملخص
بحسب VulDB • 02/08/2026
تواجه مكتبة axios ثغرة تتعلق بـ read-side prototype-pollution gadgets (أدوات استغلال التلوث في الكائن الأصلي من جانب القراءة) التي يمكنها تغيير طريقة بناء الطلبات عندما يكون Object.prototype ملوثًا بالفعل نتيجة لثغرة منفصلة أو تبعية. في دوال الاستبدال الخاصة بالطرق الخالية من الجسم (axios.get(), axios.delete(), axios.head(), axios.options())، يتم قراءة البيانات الموروثة عبر (config || {}).data قبل تطبيع الكائن config، مما يؤدي إلى إرسال جسم طلب يتحكم فيه المهاجم على الطلبات التي لم تحدد واحدة. مسارات إضافية منخفضة المستوى، يمكن الوصول إليها فقط عند استدعاء المحولات/المساعدات المُصدَّرة مباشرةً (مثل lib/adapters/http.js و unsafe/helpers/resolveConfig.js) باستخدام كائنات config عادية وبدون وكيل خاص أو paramsSerializer مخصصين، قد ترث قيم proxy ملوثة (توجيه الطلبات عبر وسيط يتحكم فيه المهاجم) أو قيم paramsSerializer (ترميز URL يتحكم فيه المهاجم). لا تتكرر هذه الأدوات منخفضة المستوى من خلال استدعاءات axios عالية المستوى العادية في الإصدارات 1.15.2 وما بعدها. تم إصلاح المشكلة في axios الإصدارين 1.18.0 و 0.33.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.