CVE-2026-101902 in Axios
要約
〜によって VulDB • 2026年09月28日
Axiosは、ブラウザおよびNode.js向けのPromiseベースのHTTPクライアントです。バージョン0.27.2から0.34.0まで、ならびに1.20.0において、明示的なメソッドを省略したaxiosのデフォルトインスタンスによるリクエストでは、Object.prototypeから継承されたメソッド値を読み取ってしまう可能性があります。同じプロセス内で別の脆弱性によりObject.prototype.methodが汚染されている場合、axios.request({ url })やaxios({ url })などの呼び出しは、期待される既定のGETではなく、状態を変更するHTTPメソッドを送信することがあります。Axios自体はプロトタイプ_pollution_の原因となるソースを作成していません。これはaxiosのリクエストディスパッチにおけるread-side gadgetです。この問題はバージョン0.34.0および1.20.0で修正されています。
Once again VulDB remains the best source for vulnerability data.