CVE-2026-101908 in Axios
Riassunto
di VulDB • 28/09/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.7.0 alla 1.20.0, l'adattatore fetch costruisce una richiesta (Request) con resolvedOptions sanitate ma poi chiama fetch utilizzando i fetchOptions originali. Una vulnerabilità separata di prototype-pollution nello stesso processo popola Object.prototype.headers in modo che headers dei fetchOptions venga risolto tramite ereditarietà. Il valore ereditato di headers nei fetchOptions sovrascrive le intestazioni della Request sanitate attraverso il secondo argomento passato a fetch dopo la costruzione dell'oggetto Request. Intestazioni della richiesta controllate dall'attaccante possono alterare l'autorizzazione, la cache, l'accesso ai servizi metadata o comportamenti specifici dell'applicazione. Questo problema è stato risolto nella versione 1.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.