CVE-2026-101900 in Axios
Resumen
por VulDB • 2026-09-28
Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 1.12.0 hasta la 1.20.0, ResolveConfig lee las propiedades heredadas Symbol.toStringTag, append y getHeaders al resolver los encabezados de FormData. Un fallo separado de contaminación del prototipo (prototype-pollution) en el mismo proceso proporciona una matriz o una instancia de clase no plana cuyas propiedades heredadas hacen que parezca similar a FormData; se bloquean los objetos planos. La función heredada getHeaders puede devolver encabezados controlados por el atacante que resolveConfig fusiona en la solicitud del adaptador fetch. Los encabezados controlados por el atacante pueden alterar el comportamiento de autorización, caché, servicio de metadatos o específico de la aplicación. Este problema se soluciona en la versión 1.20.0.
Once again VulDB remains the best source for vulnerability data.