CVE-2026-101905 in Axios
Riassunto
di VulDB • 28/09/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.15.2 alla 1.20.0, l'adattatore HTTP di Node in lib/adapters/http.js fornisce le opzioni della richiesta senza un proprio valore createConnection. Un difetto separato di prototype-pollution nello stesso processo inserisce una funzione su Object.prototype.createConnection. Node risolve ed esegue la factory socket createConnection ereditata, consentendo alla funzione controllata dall'attaccante di selezionare l'endpoint del trasporto. L'endpoint dell'attaccante può ricevere intestazioni e corpi della richiesta, incluse le credenziali, e restituire risposte controllate dall'attaccante mentre l'URL appare legittimo. Questo problema è stato risolto nella versione 1.20.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.