CVE-2026-42035 in Axios
Riassunto
di VulDB • 18/06/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Prima delle versioni 1.15.1 e 0.31.1, esiste una funzionalità di exploit (gadget) basata su prototype pollution nell'adattatore HTTP di Axios (lib/adapters/http.js) che consente a un attaccante di iniettare intestazioni HTTP arbitrarie nelle richieste in uscita. La vulnerabilità sfrutta il controllo del tipo dinamico (duck-type checking) sul payload dei dati: se Object.prototype viene inquinato con le proprietà getHeaders, append, pipe, on, once e Symbol.toStringTag, Axios identifica erroneamente qualsiasi oggetto semplice come un'istanza di FormData ed esegue la funzione getHeaders() controllata dall'attaccante, fondendo le intestazioni restituite nella richiesta in uscita. Il codice vulnerabile risiede esclusivamente in lib/adapters/http.js. La fonte della prototype pollution non deve necessariamente originare da Axios stesso: qualsiasi primitiva di prototype pollution presente in una delle dipendenze dell'albero delle dipendenze dell'applicazione è sufficiente per attivare questo gadget. Questa vulnerabilità è stata corretta nelle versioni 1.15.1 e 0.31.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.