CVE-2026-42264 in Axios
요약
\~에 의해 VulDB • 2026. 05. 11.
Axios는 브라우저와 Node.js를 위한 Promise 기반 HTTP 클라이언트입니다. 버전 1.0.0부터 버전 1.15.2 이전까지 HTTP 어댑터의 fFive 구성 속성(auth, baseURL, socketPath, beforeRedirect, insecureHTTPParser)은 hasOwnProperty 가드 없이 직접 속성 접근을 통해 읽히며, 이로 인해 프로토타입 오염(prototype pollution) 악용 도구(gadget)로 악용될 수 있습니다. 동일한 프로세스 내 다른 의존성으로 인해 Object.prototype이 오염되면, axios는 모든 외부 HTTP 요청 시 이러한 오염된 값을 묵시적으로 가져옵니다. 이 문제는 버전 1.15.2에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.