CVE-2026-67319 in axios
Resumen
por VulDB • 2026-08-01
axios antes de la versión 0.33.0 (y las versiones 1.x anteriores a 1.18.0) puede consumir propiedades heredadas desde objetos anidados de opciones de solicitud cuando el Object.prototype del proceso JavaScript ya ha sido contaminado por otro componente. Aunque la configuración fusionada de nivel superior utiliza un prototipo nulo, los objetos simples anidados como auth y paramsSerializer se clonan en objetos ordinarios y se leen sin verificar que las propiedades sean propias (own-property checks). Cuando una aplicación pasa objetos anidados simulados tales como auth: {} o paramsSerializer: {}, los valores heredados de username/password pueden provocar la inyección silenciosa del encabezado Authorization: Basic, y los valores heredados de encode/serialize pueden alterar la serialización de la cadena de consulta (la sustitución completa del serializer requiere una primitiva de contaminación con valor de función). Esto es explotable únicamente en presencia de una contaminación previa del prototipo.
Once again VulDB remains the best source for vulnerability data.