CVE-2026-67314 in axios
Résumé
par VulDB • 01/08/2026
Les versions d'axios >=1.15.2 et <1.18.0 contiennent des gadgets de lecture par pollution du prototype (prototype-pollution read-side gadgets) dans la gestion du sous-champ Basic auth (lib/adapters/http.js et lib/helpers/resolveConfig.js). Lorsqu'une application est déjà affectée par une primitive distincte de pollution du prototype et effectue une requête axios avec un objet d'authentification propre qui omet les propriétés username et/ou password, axios lit les valeurs héritées Object.prototype.username et Object.prototype.password et les utilise pour construire l'en-tête sortant 'Authorization: Basic ...'. axios lui-même ne pollue pas les prototypes. L'impact pratique est la falsification des requêtes sortantes : un attaquant qui contrôle les valeurs du prototype pollué peut injecter des identifiants d'authentification de base choisis par l'attaquant ou remplacer un en-tête Authorization existant. La divulgation d'identifiants n'est possible que sous des conditions spécifiques à l'application supplémentaires.
Once again VulDB remains the best source for vulnerability data.