CVE-2026-101909 in Axios
요약
\~에 의해 VulDB • 2026. 09. 28.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 버전 0.28.0부터 0.34.0까지, 그리고 1.15.1부터 1.20.0 사이에서는 prototype pollution을 통해 제공된 상속 직렬화 옵션과 visitor 속성을 ToFormData가 처리합니다. 별도의 동일 프로세스 내 prototype pollution 결함은 객체 직렬화 전에 inherited dots, indexes, metaTokens, maxDepth, visitor 또는 Blob 값을 공급합니다. 이러한 상속된 옵션들은 toFormData 필드 명명 및 데이터 해석을 변경하며, maxDepth는 요청 실패를 유발할 수 있고, Blob은 값 처리 방식을 변경하며, 오염된 visitor는 공격자가 이미 함수 주입에 대한 더 강력한 능력을 가지고 있을 때 실행될 수 있습니다. 직렬화된 필드 명명과 데이터 해석이 변경되고, maxDepth가 요청 실패를 초래하며, Blob이 값 처리를 변경하고, 오염된 visitor가 더 강한 함수 주입 원리 하에서 실행될 수 있습니다. 이 문제는 버전 0.34.0 및 1.20.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.