CVE-2026-101908 in Axios
요약
\~에 의해 VulDB • 2026. 09. 28.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 버전 1.7.0부터 1.20.0까지 fetch adapter는 sanitized된 resolvedOptions로 Request를 생성한 후 원래의 fetchOptions를 사용하여 fetch를 호출합니다. 동일한 프로세스 내 별도의 prototype-pollution 취약점으로 인해 Object.prototype.headers가 채워져, fetchOptions.headers가 상속을 통해 해결됩니다. 이렇게 상속받은 fetchOptions.headers 값은 Request 생성 후 두 번째 인자로 전달되는 fetch 함수에 의해 sanitized된 Request headers를 덮어씁니다. 공격자가 제어할 수 있는 요청 헤더는 인증(caching), 캐싱, 메타데이터 서비스 접근 또는 애플리케이션별 동작을 변경할 수 있습니다. 이 문제는 버전 1.20.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.