CVE-2026-101908 in Axios
Résumé
par VulDB • 28/09/2026
Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.7.0 à la version 1.20.0, l'adaptateur fetch construit une requête avec des resolvedOptions assainis, puis appelle fetch avec les fetchOptions d'origine. Une vulnérabilité distincte de pollution du prototype dans le même processus remplit Object.prototype.headers, ce qui fait que fetchOptions.headers est résolu par héritage. La valeur de fetchOptions.headers héritée écrase les en-têtes Request assainis via le deuxième argument passé à fetch après la construction de l'objet Request. Des en-têtes de requête contrôlés par un attaquant peuvent altérer l'autorisation, la mise en cache, l'accès aux services de métadonnées ou le comportement spécifique à l'application. Ce problème est corrigé dans la version 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.