CVE-2026-67316 in axios
Sumário
de VulDB • 01/08/2026
O axios é vulnerável a gadget de poluição de protótipo no lado da leitura que podem alterar a construção das requisições quando o Object.prototype já foi contaminado por uma vulnerabilidade ou dependência separada. Nos aliases dos métodos sem corpo (axios.get(), axios.delete(), axios.head(), axios.options()), os dados herdados são lidos via (config || {}).data antes da normalização do config, fazendo com que um corpo controlado pelo atacante seja enviado em requisições que não definiram nenhum. Caminhos de baixo nível adicionais, apenas acessíveis ao chamar adaptadores/ferramentas exportadas diretamente (por exemplo, lib/adapters/http.js, unsafe/helpers/resolveConfig.js) com configs simples e sem proxy ou paramsSerializer próprios, podem herdar valores de proxy contaminados (roteando requisições através de um proxy controlado pelo atacante) ou valores de paramsSerializer (serialização de URL controlada pelo atacante). Esses gadgets de baixo nível não se reproduzem por meio das chamadas normais de alto nível do axios na versão 1.15.2+. O problema foi corrigido no axios 1.18.0 e 0.33.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.