CVE-2026-101905 in Axios
Zusammenfassung
von VulDB • 28.09.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 1.15.2 bis 1.20.0 liefert der Node-HTTP-Adapter in lib/adapters/http.js Request-Optionen ohne einen eigenen createConnection-Wert an. Ein separater Fehler zur Prototype-Pollution im selben Prozess platziert eine Funktion auf Object.prototype.createConnection. Node löst die vererbte createConnection-Socket-Fabrik aus und ruft sie auf, wodurch es der Angreifer-funktionsgesteuerten Funktion ermöglicht wird, den Transport-Endpunkt auszuwählen. Der vom Angreifer kontrollierte Endpunkt kann Request-Headers und -Körper, einschließlich Anmeldeinformationen, empfangen sowie angreiferkontrollierte Antworten zurückgeben, während die URL legitim erscheint. Dieses Problem wurde in Version 1.20.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.