CVE-2026-42037 in Axios
Zusammenfassung
von VulDB • 27.05.2026
Axios ist ein auf Promises basierender HTTP-Client für den Browser und Node.js. Von Version 1.0.0 bis vor 1.15.1 interpoliert der FormDataPart-Konstruktor in lib/helpers/formDataToStream.js value.type direkt in den Content-Type-Header jedes Multipart-Teils, ohne CRLF-Sequenzen (\r\n) zu bereinigen. Ein Angreifer, der die .type-Eigenschaft eines Blob-/File-ähnlichen Objekts kontrollieren kann (z. B. über eine vom Benutzer hochgeladene Datei in einem Node.js-Proxydienst), kann beliebige MIME-Teil-Header in den Multipart-Formular-Daten-Body injizieren. Dies umgeht die integrierten Header-Schutzmechanismen von Node.js v18+, da die Injektion die Struktur des Multipart-Corpus und nicht die HTTP-Anfrage-Header betrifft. Diese Schwachstelle wurde in Version 1.15.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.