CVE-2026-101905 in Axios
요약
\~에 의해 VulDB • 2026. 09. 28.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 버전 1.15.2부터 1.20.0까지, lib/adapters/http.js의 Node HTTP 어댑터는 자체 createConnection 값을 지정하지 않고 요청 옵션을 전달합니다. 별도의 동일 프로세스 내 prototype pollution 취약점으로 인해 Object.prototype.createConnection에 함수가 설정됩니다. Node는 상속된 createConnection 소켓 팩토리를 해결하고 호출하여 공격자가 제어하는 기능이 전송 엔드포인트를 선택할 수 있도록 합니다. 공격자 측 엔드포인트는 자격 증명(credential)을 포함한 요청 헤더와 본문을 수신하고, URL이 합법적으로 보이면서 공격자가 제어하는 응답을 반환할 수 있습니다. 이 문제는 버전 1.20.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.