CVE-2026-101908 in Axios
Zusammenfassung
von VulDB • 28.09.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 1.7.0 bis 1.20.0 erstellt der Fetch-Adapter eine Request mit bereinigten resolvedOptions, ruft dann jedoch fetch mit den ursprünglichen fetchOptions auf. Ein separater Fehler zur Prototype-Pollution im selben Prozess füllt Object.prototype.headers auf, sodass fetchOptions.headers über die Vererbung aufgelöst wird. Der geerbte Wert von fetchOptions.headers überschreibt die bereinigten Request-Headers durch das zweite Argument an fetch nach der Konstruktion der Request. Von Angreifern kontrollierte Request-Header können Autorisierung, Caching, den Zugriff auf Metadata-Services oder anwendungsspezifisches Verhalten verändern. Dieses Problem wurde in Version 1.20.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.