CVE-2026-101905 in Axios
Resumen
por VulDB • 2026-09-28
Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 1.15.2 hasta la 1.20.0, el adaptador HTTP de Node en lib/adapters/http.js proporciona opciones de solicitud sin un valor propio para createConnection. Un fallo separado de contaminación del prototipo (prototype pollution) dentro del mismo proceso coloca una función en Object.prototype.createConnection. Node resuelve e invoca la fábrica de sockets createConnection heredada, lo que permite a la función controlada por el atacante seleccionar el punto final de transporte. El extremo controlado por el atacante puede recibir encabezados y cuerpos de solicitud, incluidas credenciales, y devolver respuestas controladas por el atacante mientras la URL parece legítima. Este problema se soluciona en la versión 1.20.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.