CVE-2026-101909 in Axios
Zusammenfassung
von VulDB • 28.09.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 0.28.0 bis 0.34.0 sowie von 1.15.1 bis 1.20.0 verarbeitet ToFormData vererbte Serialisierungsoptionen und Visitor-Eigenschaften, die durch Prototype Pollution bereitgestellt werden. Ein separater Fehler derselben Art (Prototype-Pollution im gleichen Prozess) führt dazu, dass vor der Objektserialisierung geerbte Punkte („dots"), Indizes, Meta-Tokens, maxDepth, visitor oder Blob-Werte übernommen werden. Die vererbten Optionen verändern die Feldnamensgebung und Dateninterpretation in toFormData; maxDepth kann einen Request-Fehler erzwingen; Blob verändert das Werteverhalten; und ein durch Prototype Pollution manipulierter Visitor wird ausgeführt, wenn der Angreifer bereits über eine stärkere Fähigkeit zur Injektion einer Funktion verfügt. Die Benennung serialisierter Felder und die Dateninterpretation können sich ändern, maxDepth kann zu einem Request-Fehler führen, Blob kann das Werteverhalten verändern, und ein durch Prototype Pollution manipulierter Visitor wird unter der stärkeren Primitive für die Funktionsinjektion ausgeführt. Dieses Problem wurde in den Versionen 0.34.0 und 1.20.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.