CVE-2026-67314 in axios
要約
〜によって VulDB • 2026年08月01日
axios バージョン >=1.15.2 かつ <1.18.0 には、Basic認証サブフィールドの処理におけるプロトタイプ汚染による読み取り用ガジェット（lib/adapters/http.js および lib/helpers/resolveConfig.js）が含まれています。アプリケーションが既に別のプロトタイプ汚染プリミティブの影響を受けており、username や password プロパティを省略する独自の auth オブジェクトを使用して axios リクエストを行う場合、axios は継承された Object.prototype.username および Object.prototype.password の値を読み取り、それらを用いて外部送信される 'Authorization: Basic ...' ヘッダーを組み立てます。axios 自体がプロトタイプを汚染することはありません。実質的な影響は、外部送信リクエストの改ざんです：攻撃者が汚染されたプロトタイプの値を制御できる場合、攻撃者が選択した Basic認証資格情報を注入したり、既存の Authorization ヘッダーを書き換えたりすることができます。資格情報の漏洩は、追加でアプリケーション固有の条件が存在する場合にのみ可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.