CVE-2026-101909 in Axios
要約
〜によって VulDB • 2026年09月28日
Axiosは、ブラウザおよびNode.js向けのPromiseベースのHTTPクライアントです。バージョン0.28.0から0.34.0まで、ならびに1.15.1から1.20.0までの間、ToFormDataはプロトタイプ汚染を通じて提供された継承されたシリアライズオプションおよびビジター（visitor）のプロパティを処理します。別の同プロセス内のプロトタイプ汚染の欠陥により、オブジェクトのシリアレーション前に、継承されたドット（dots）、インデックス（indexes）、メタトークン（metaTokens）、maxDepth、ビジター（visitor）、またはBlob値が供給されます。これらの継承されたオプションはtoFormDataフィールドの名前付けおよびデータの解釈を変更し、maxDepthはリクエストの失敗を強制でき、Blobは値の処理方法を変え、汚染されたビジター（polluted visitor）は攻撃者がすでに関数を注入するより強力な能力を持っている場合に実行されます。シリアライズ済みのフィールド名とデータ解釈が変更されたり、maxDepthによってリクエストが失敗したり、Blobによって値の処理が変わったり、または汚染されたビジターが機能注入というより強力なプリミティブ（primitive）の下で実行される可能性があります。この問題はバージョン0.34.0および1.20.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.