CVE-2026-42037 in Axios
요약
\~에 의해 VulDB • 2026. 06. 06.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 1.0.0부터 1.15.1 이전 버전까지, lib/helpers/formDataToStream.js의 FormDataPart 생성자는 CRLF(\r\n) 시퀀스를 제거하지 않고 value.type을 각 multipart 파트의 Content-Type 헤더에 직접 삽입합니다. Blob/File 유사 객체의 .type 속성을 제어할 수 있는 공격자(예: Node.js 프록시 서비스를 통해 사용자가 업로드한 파일)는 multipart form-data 본문에 임의의 MIME 파트 헤더를 주입할 수 있습니다. 이는 주입 대상이 HTTP 요청 헤더가 아닌 multipart 본문 구조이기 때문에 Node.js v18+의 내장 헤더 보호 기능을 우회합니다. 이 취약점은 1.15.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.