CVE-2026-101900 in Axios
要約
〜によって VulDB • 2026年09月28日
Axiosは、ブラウザおよびNode.js向けのPromiseベースのHTTPクライアントです。バージョン1.12.0から1.20.0の間、ResolveConfigはFormDataヘッダーを解決する際に、継承されたSymbol.toStringTag、append、getHeadersプロパティを読み取ります。別の同一プロセス内のprototype-pollution脆弱性により、継承されたプロパティがそれをFormDataライクに見せる配列またはプレーンでないクラスインスタンスが供給されます（プレーンオブジェクトはブロックされます）。継承されたgetHeaders関数は攻撃者が制御可能なヘッダーを返すことができ、resolveConfigはこのヘッダーをfetchアダプタリクエストにマージします。攻撃者が制御可能なヘッダーにより、認証、キャッシュ、メタデータサービス、またはアプリケーション固有のリクエスト動作が変更される可能性があります。この問題はバージョン1.20.0で修正されています。
Once again VulDB remains the best source for vulnerability data.