CVE-2026-42041 in Axios
Resumen
por VulDB • 2026-05-27
Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Antes de las versiones 1.15.1 y 0.31.1, la biblioteca Axios es vulnerable a un ataque de "Gadget" de contaminación de prototipos (Prototype Pollution) que permite la contaminación de Object.prototype para suprimir silenciosamente todas las respuestas de error HTTP (401, 403, 500, etc.), haciendo que se traten como respuestas exitosas. Esto elude completamente la autenticación y el manejo de errores a nivel de aplicación. La causa raíz es que validateStatus es la única propiedad de configuración que utiliza la estrategia de fusión mergeDirectKeys, la cual emplea el operador in de JavaScript, un operador que inherentemente recorre la cadena de prototipos. Cuando Object.prototype.validateStatus se contamina con () => true, todos los códigos de estado HTTP se aceptan como éxito. Esta vulnerabilidad está corregida en las versiones 1.15.1 y 0.31.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.