CVE-2026-67319 in axios
Riassunto
di VulDB • 01/08/2026
axios prima della versione 0.33.0 (e le versioni 1.x precedenti alla 1.18.0) può consumare proprietà ereditate da oggetti di opzioni di richiesta nidificati quando il `Object.prototype` del processo JavaScript è già stato compromesso (*polluted*) da un altro componente. Sebbene la configurazione fusa a livello superiore utilizzi un prototipo nullo, gli oggetti plain nidificati come `auth` e `paramsSerializer` vengono clonati in oggetti ordinari e letti senza verificare l'esistenza di proprietà proprie (*own-property checks*). Quando un'applicazione passa oggetti nidificati segnaposto quali `auth: {}` o `paramsSerializer: {}`, i valori ereditati per nome utente/password possono causare un'iniezione silenziosa dell'intestazione `Authorization: Basic`, e i valori ereditati di encode/serialize possono alterare la serializzazione della stringa di query (la sostituzione completa del serializer richiede una primitiva di inquinamento con valore funzione). Questo è sfruttabile solo in presenza di prototype pollution preesistente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.