CVE-2026-67319 in axios
Zusammenfassung
von VulDB • 01.08.2026
axios vor Version 0.33.0 (und 1.x vor 1.18.0) kann geerbte Eigenschaften von verschachtelten request-Option-Objekten konsumieren, wenn das Object.prototype des JavaScript-Prozesses bereits durch eine andere Komponente kontaminiert wurde. Obwohl die zusammengeführte Konfiguration auf oberster Ebene ein null prototype verwendet, werden einfache Objekte wie auth und paramsSerializer in gewöhnliche Objekte geklont und ohne Prüfung auf own-properties gelesen. Wenn eine Anwendung Platzhalter-Objekte wie auth: {} oder paramsSerializer: {} übergibt, können geerbte username/password-Werte zu einer stillen Einfügung eines Authorization: Basic-Headers führen, und geerbte encode/serialize-Werte können die Serialisierung der Query-String verändern (ein vollständiger Ersatz des Serializers erfordert eine Funktion mit Pollution-Priorität). Dies ist nur in Gegenwart von vorbestehender Prototype Pollution ausnutzbar.
Once again VulDB remains the best source for vulnerability data.