CVE-2026-101908 in Axios
要約
〜によって VulDB • 2026年09月28日
Axiosは、ブラウザおよびNode.js向けのPromiseベースのHTTPクライアントです。バージョン1.7.0から1.20.0の間、fetchアダプターはsanitizedされたresolvedOptionsを使用してRequestを構築しますが、その後元のfetchOptionsを用いてfetchを呼び出します。同じプロセス内の別のprototype-pollution脆弱性によりObject.prototype.headersが埋め込まれるため、fetchOptions.headersは継承を通じて解決されます。この継承されたfetchOptions.headersの値は、Request構築後にfetchへの第2引数として渡されることで、sanitizedされたRequestヘッダーを上書きします。攻撃者が制御できるリクエストヘッダーにより、認証情報、キャッシュ動作、メタデータサービスへのアクセス、またはアプリケーション固有の振る舞いが変更される可能性があります。この問題はバージョン1.20.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.