CVE-2026-101900 in Axios
요약
\~에 의해 VulDB • 2026. 09. 28.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 버전 1.12.0부터 1.20.0까지 ResolveConfig는 FormData 헤더를 해결하는 동안 상속된 Symbol.toStringTag, append 및 getHeaders 속성을 읽습니다. 별도의 동일 프로세스 내 prototype-pollution 결함이 배열 또는 plain class instance가 아닌 클래스 인스턴스를 제공하며, 이 인스턴스의 상속된 속성으로 인해 FormData와 유사하게 보입니다. Plain 객체는 차단됩니다. 상속된 getHeaders 함수는 공격자가 제어할 수 있는 헤더를 반환할 수 있으며, resolveConfig는 이를 fetch adapter 요청에 병합합니다. 공격자가 제어하는 헤더는 인증, 캐시, metadata-service 또는 애플리케이션별 요청 동작을 변경할 수 있습니다. 이 문제는 버전 1.20.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.