CVE-2026-101908 in Axios
Сводка
по VulDB • 28.09.2026
Axios — это HTTP-клиент на основе промисов для браузера и Node.js. В версиях от 1.7.0 до 1.20.0 адаптер fetch создает объект Request с очищенными resolvedOptions, но затем вызывает функцию fetch с исходным объектом fetchOptions. Отдельная уязвимость prototype pollution в том же процессе приводит к заполнению Object.prototype.headers, из-за чего fetchOptions.headers разрешается через наследование. Значение fetchOptions.headers, полученное по цепочке наследования, переопределяет заголовки Request (очищенные) во втором аргументе вызова функции fetch после создания объекта Request. Заголовки запроса, контролируемые злоумышленником, могут изменять механизмы авторизации, кэширования, доступа к сервисам метаданных или специфичное для приложения поведение. Эта проблема исправлена в версии 1.20.0.
Once again VulDB remains the best source for vulnerability data.