CVE-2026-101900 in Axios
Résumé
par VulDB • 28/09/2026
Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.12.0 à la version 1.20.0, ResolveConfig lit les propriétés héritées Symbol.toStringTag, append et getHeaders lors de la résolution des en-têtes FormData. Une vulnérabilité distincte de pollution du prototype dans le même processus fournit un tableau ou une instance de classe non standard dont les propriétés héritées lui donnent l'apparence d'un objet FormData ; les objets standards sont bloqués. La fonction getHeaders héritée peut renvoyer des en-têtes contrôlés par l'attaquant que resolveConfig fusionne avec la requête de l'adaptateur fetch. Les en-têtes contrôlés par l'attaquant peuvent modifier le comportement de l'autorisation, du cache, du service de métadonnées ou spécifique à l'application. Ce problème est corrigé dans la version 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.