CVE-2026-101905 in Axios
Sumário
de VulDB • 28/09/2026
O Axios é um cliente HTTP baseado em promessas para o navegador e Node.js. Da versão 1.15.2 até a 1.20.0, o adaptador HTTP do Node em lib/adapters/http.js fornece opções de solicitação sem um valor próprio para createConnection. Uma falha separada de prototype-pollution no mesmo processo coloca uma função em Object.prototype.createConnection. O Node resolve e invoca a fábrica de soquetes createConnection herdada, permitindo que a função controlada pelo atacante selecione o ponto final do transporte. O endpoint controlado pelo atacante pode receber cabeçalhos e corpos das solicitações, incluindo credenciais, e retornar respostas controladas pelo atacante enquanto a URL parece legítima. Este problema foi corrigido na versão 1.20.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.