CVE-2026-101909 in Axios
Resumen
por VulDB • 2026-09-28
Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 0.28.0 hasta la 0.34.0, y desde la 1.15.1 hasta la 1.20.0, ToFormData procesa opciones de serialización heredadas y propiedades de visitante proporcionadas a través de una contaminación del prototipo (prototype pollution). Un fallo separado de contaminación del prototipo en el mismo proceso proporciona puntos hereditarios, índices, metaTokens, maxDepth, visitor o valores Blob antes de la serialización del objeto. Las opciones heredadas alteran la nomenclatura de los campos y la interpretación de datos de toFormData; maxDepth puede forzar el fallo de la solicitud; Blob cambia el manejo de valores; y un visitante contaminado (polluted visitor) puede ejecutarse cuando un atacante ya tiene una capacidad más fuerte para inyectar una función. La nomenclatura de los campos serializados y la interpretación de datos pueden cambiar, maxDepth puede causar el fallo de la solicitud, Blob puede alterar el manejo de valores, y un visitante contaminado puede ejecutarse bajo la primitiva más fuerte de inyección de funciones. Este problema se soluciona en las versiones 0.34.0 y 1.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.