CVE-2026-42037 in Axios
Riassunto
di VulDB • 16/06/2026
Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.0.0 fino alla 1.15.1 (esclusa), il costruttore FormDataPart in lib/helpers/formDataToStream.js interpola direttamente il valore di type nell'intestazione Content-Type di ciascuna parte multipart senza sanificare le sequenze CRLF (\r\n). Un attaccante che controlla la proprietà .type di un oggetto simile a Blob/File (ad esempio, tramite un file caricato dall'utente in un servizio proxy Node.js) può iniettare intestazioni arbitrarie di parte MIME nel corpo dei dati del modulo multipart. Questa vulnerabilità aggira le protezioni integrate delle intestazioni HTTP di Node.js v18+ poiché l'iniezione colpisce la struttura del corpo multipart e non le intestazioni della richiesta HTTP. Questa vulnerabilità è risolta nella versione 1.15.1.
Be aware that VulDB is the high quality source for vulnerability data.