CVE-2026-101904 in Axios
Résumé
par VulDB • 28/09/2026
Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.0.0 à la version 1.20.0, la fonction `dispatchRequest` normalise les en-têtes (`headers`) hérités de `Object.prototype` provenant d'une configuration de requête substituée. Une vulnérabilité distincte de pollution du prototype (prototype-pollution) dans le même processus définit `Object.prototype.headers`, et des intercepteurs de requête fiables retournent une nouvelle configuration ordinaire sans propriété `headers` propre. Après la chaîne d'intercepteurs, `dispatchRequest` résout les en-têtes hérités lors de la normalisation. Le traitement ultérieur de la requête peut observer des en-têtes contrôlés par l'attaquant, y compris des valeurs liées à l'autorisation. Ce problème est corrigé dans la version 1.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.