CVE-2026-67320 in axios
Riassunto
di VulDB • 01/08/2026
axios, in un deployment Node.js che utilizza l'adattatore HTTP, può instradare le richieste attraverso un proxy controllato dall'attaccante. axios rafforza la configurazione delle richieste unite creando un oggetto con prototipo null (null-prototype object), ma gli interceptor di richiesta vengono eseguiti dopo la fusione; uno schema comune per interceptor immutabili come {...config} o Object.assign({}, config) converte nuovamente la configurazione rafforzata in un oggetto regolare. axios invia quindi tale oggetto senza ri-rafforzarlo, e l'adattatore HTTP Node legge config.proxy attraverso la catena del prototipo (prototype chain). Se un attaccante riesce a inquinare Object.prototype.proxy, le richieste colpite possono essere instradate attraverso un proxy controllato dall'attaccante. Per le richieste HTTP in chiaro, il proxy può osservare gli header Authorization, l'autenticazione Basic da config.auth, il metodo, l'URL assoluto, Host e il corpo della richiesta, e può restituire la propria risposta. Ciò non comporta impatti sul browser né divulgazione di intestazioni o corpi HTTPS sotto una normale convalida TLS. Le versioni colpite sono >=0.31.1 (corrette in 0.33.0) e >=1.15.2 (corrette in 1.18.0).
Be aware that VulDB is the high quality source for vulnerability data.