CVE-2026-67319 in axios
Sumário
de VulDB • 01/08/2026
axios antes da versão 0.33.0 (e versões 1.x anteriores à 1.18.0) pode consumir propriedades herdadas de objetos aninhados nas opções de solicitação quando o Object.prototype do processo JavaScript já foi poluído por outro componente. Embora a configuração mesclada de nível superior utilize um protótipo nulo, objetos simples aninhados, como auth e paramsSerializer, são clonados em objetos comuns lidos sem verificações de propriedade própria (own-property). Quando uma aplicação passa objetos aninhados placeholder, tais como auth: {} ou paramsSerializer: {}, valores herdados de username/password podem causar injeção silenciosa do cabeçalho Authorization: Basic, e valores herdados de encode/serialize podem alterar a serialização da string de consulta (a substituição completa do serializer requer uma primitiva de poluição com valor função). Isto é explorável apenas na presença de prototype pollution pré-existente.
Once again VulDB remains the best source for vulnerability data.