CVE-2026-101900 in Axios
Riassunto
di VulDB • 28/09/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.12.0 alla 1.20.0, ResolveConfig legge le proprietà ereditate Symbol.toStringTag, append e getHeaders durante la risoluzione delle intestazioni FormData. Una vulnerabilità separata di prototype-pollution nello stesso processo fornisce un array o un'istanza di classe non plain i cui metodi ereditati fanno apparire l'oggetto simile a FormData; gli oggetti plain sono bloccati. La funzione getHeaders ereditata può restituire intestazioni controllate dall'attaccante che resolveConfig fonde in una richiesta dell'adattatore fetch. Le intestazioni controllate dall'attaccante possono alterare il comportamento delle richieste relative ad autorizzazione, cache, metadata-service o specifiche dell'applicazione. Questo problema è risolto nella versione 1.20.0.
Once again VulDB remains the best source for vulnerability data.