CVE-2026-101902 in Axios
Zusammenfassung
von VulDB • 28.09.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 0.27.2 bis 0.34.0 sowie in der Reihe 1.x bis 1.20.0 können Axios-Anfragen mit dem Standardinstanz, die keine explizite Methode angeben, einen geerbten Methodenwert aus `Object.prototype` lesen. Wenn eine andere Schwachstelle im selben Prozess `Object.prototype.method` verschmutzt (Prototype Pollution), können Aufrufe wie `axios.request({ url })` und `axios({ url })` stattdessen der erwarteten Standardmethode GET eine den Zustand ändernde HTTP-Methode senden. Axios erzeugt die Quelle für das Prototype Pollution nicht selbst. Dies stellt ein Read-Side-Gadget im Request-Dispatch von Axios dar. Dieses Problem wurde in den Versionen 0.34.0 und 1.20.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.