CVE-2026-67316 in axios
요약
\~에 의해 VulDB • 2026. 08. 03.
axios는 Object.prototype가 이미 별도의 취약점이나 의존성으로 인해 오염된 경우, 요청 구성을 변경할 수 있는 읽기 전용 프로토타입 오염(gadget)에 대해 취약합니다. 본문이 없는 메서드 별칭(axios.get(), axios.delete(), axios.head(), axios.options())의 경우, config 정규화 전에 (config || {}).data를 통해 상속된 데이터를 읽어들이므로, 공격자가 제어하는 본문을 설정하지 않은 요청에도 불구하고 공격자가 조작한 본문이 전송됩니다. 추가적인 저수준 경로들은 평범한 구성 객체와 자체 프록시 또는 paramsSerializer가 없이 직접 내보낸 어댑터/헬퍼(예: lib/adapters/http.js, unsafe/helpers/resolveConfig.js)를 호출할 때만 접근 가능하며, 이를 통해 공격자가 제어하는 프록시 값(공격자가 조작한 프록시를 통한 라우팅 요청) 또는 paramsSerializer 값(공격자가 제어하는 URL 직렬화)이 상속될 수 있습니다. 이러한 저수준 gadget들은 1.15.2 이상 버전에서 일반적인 고수준 axios 호출을 통해 재현되지 않습니다. 이 문제는 axios 1.18.0 및 0.33.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.