CVE-2026-67320 in axios
要約
〜によって VulDB • 2026年08月01日
Node.js のデプロイメントで HTTP アダプターを使用している axios は、攻撃者が制御するプロキシ経由でリクエストをルーティングできる脆弱性があります。axios は null-prototype オブジェクトを作成することでマージされたリクエスト設定の強化を行いますが、リクエストインターセプターはマージ後に実行されます。{...config} や Object.assign({}, config) のような一般的な不変型インターセプターのパターンを使用すると、強化済みの設定が通常のプロトタイプを持つオブジェクトに戻されてしまいます。axios はその後、そのオブジェクトを再強化することなく送信し、Node.js HTTP アダプターはプロトタイプチェーンを通じて config.proxy を読み取ります。攻撃者が Object.prototype.proxy を汚染できる場合、影響を受けるリクエストは攻撃者が制御するプロキシ経由でルーティングされます。平文の HTTP リクエストの場合、プロキシは Authorization ヘッダー、config.auth からの Basic認証情報、メソッド、絶対URL、Hostヘッダー、およびリクエストボディを傍受でき、独自のレスポンスを返すこともできます。ただし、通常のTLS検証下ではブラウザへの影響やHTTPSのヘッダー/ボディ漏洩は発生しません。影響を受けるバージョンは >=0.31.1 (0.33.0で修正済み) および >=1.15.2 (1.18.0で修正済み) です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.