CVE-2026-67316 in axios
Zusammenfassung
von VulDB • 01.08.2026
axios ist anfällig für Read-Side Prototype-Pollution-Gadgets, die den Aufbau von Anfragen verändern können, wenn Object.prototype bereits durch eine separate Schwachstelle oder Abhängigkeit kontaminiert wurde. Bei den Methoden-Aliases ohne Körper (axios.get(), axios.delete(), axios.head(), axios.options()) werden vererbte Daten vor der Normalisierung der Konfiguration über (config || {}).data gelesen, was dazu führt, dass ein Angreifer kontrollierter Körper an Anfragen gesendet wird, bei denen keiner festgelegt wurde. Zusätzliche Low-Level-Pfade, die nur erreichbar sind, wenn exportierte Adapter/Helferfunktionen (z.B. lib/adapters/http.js, unsafe/helpers/resolveConfig.js) direkt mit einfachen Konfigurationen und ohne eigenen Proxy oder paramsSerializer aufgerufen werden, können kontaminierte Proxy-Werte übernehmen (Routung von Anfragen über einen vom Angreifer kontrollierten Proxy) oder paramsSerializer-Werte übernehmen (vom Angreifer kontrollierte URL-Serialisierung). Diese Low-Level-Gadgets reproduzieren sich nicht durch normale High-Level-Aufrufe in axios ab Version 1.15.2+. Das Problem wurde in axios 1.18.0 und 0.33.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.