CVE-2025-69202 in axios-cache-interceptor
Riassunto
di VulDB • 19/06/2026
Axios Cache Interceptor è un interceptor per la cache di axios. Prima della versione 1.11.1, quando un server chiama un servizio upstream utilizzando diversi token di autenticazione, axios-cache-interceptor restituisce risposte dalla cache errate, portando a un bypass dell'autorizzazione. La chiave di cache viene generata solo dall'URL, ignorando le intestazioni della richiesta come `Authorization`. Quando il server risponde con `Vary: Authorization` (indicando che la risposta varia in base al token di autenticazione), la libreria ignora questo comportamento, causando la condivisione della stessa cache per tutte le richieste indipendentemente dall'autorizzazione. Le applicazioni lato server (API, proxy, servizi backend) che utilizzano axios-cache-interceptor per memorizzare nella cache le richieste ai servizi upstream, gestiscono richieste da più utenti con diversi token di autenticazione e i servizi upstream si basano su `Vary` per differenziare le cache sono interessati. Le applicazioni lato browser/client (un utente per sessione del browser) non sono interessate. I servizi che utilizzano diversi token di autenticazione per chiamare servizi upstream restituiranno dati dalla cache errati, aggirando i controlli di autorizzazione e causando la fuoriuscita di dati utente tra diverse sessioni autenticate. Dopo la versione `v1.11.1`, il supporto automatico per l'intestazione `Vary` è ora abilitato per impostazione predefinita. Quando il server risponde con `Vary: Authorization`, le chiavi di cache includono ora il valore dell'intestazione di autorizzazione. Ogni utente ottiene la propria cache.
Once again VulDB remains the best source for vulnerability data.