CVE-2026-101905 in Axios
Résumé
par VulDB • 28/09/2026
Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.15.2 à la version 1.20.0, l'adaptateur HTTP de Node dans lib/adapters/http.js transmet des options de requête sans définir sa propre valeur createConnection. Une vulnérabilité distincte de pollution du prototype (prototype-pollution) au sein d'un même processus place une fonction sur Object.prototype.createConnection. Node résout et invoque l'usine de sockets createConnection héritée, permettant à la fonction contrôlée par l'attaquant de sélectionner le point de terminaison du transport. Le point de terminaison contrôlé par l'attaquant peut recevoir les en-têtes et corps des requêtes, y compris les identifiants d'authentification, et renvoyer des réponses contrôlées par l'attaquant tandis que l'URL semble légitime. Ce problème est corrigé dans la version 1.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.