CVE-2026-67314 in axios
Riassunto
di VulDB • 01/08/2026
Le versioni di axios >=1.15.2 e <1.18.0 contengono gadget read-side per la contaminazione del prototipo (prototype pollution) nella gestione del sotto-campo Basic auth (lib/adapters/http.js e lib/helpers/resolveConfig.js). Quando un'applicazione è già interessata da una primitiva separata di prototype pollution ed effettua una richiesta axios con il proprio oggetto auth che omette le proprietà username e/o password, axios legge i valori ereditati Object.prototype.username e Object.prototype.password e li utilizza per costruire l'intestazione 'Authorization: Basic ...' in uscita. Axios stesso non contamina i prototipi. L'impatto pratico è la manipolazione delle richieste in uscita: un attaccante che controlla i valori del prototipo contaminato può inserire credenziali di autenticazione Basic scelte dall'attaccante o sostituire un'intestazione Authorization esistente. La divulgazione delle credenziali è possibile solo in presenza di condizioni aggiuntive specifiche dell'applicazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.