CVE-2026-67314 in axios
Сводка
по VulDB • 01.08.2026
В версиях axios >=1.15.2 и <1.18.0 присутствуют механизмы чтения (gadgets) для prototype-pollution в обработке подполя Basic auth (lib/adapters/http.js и lib/helpers/resolveConfig.js). Когда приложение уже подвержено отдельной уязвимости primitive-prototype-pollution и выполняет запрос axios с собственным объектом auth, который не содержит свойства username и/или password, axios считывает наследуемые значения Object.prototype.username и Object.prototype.password и использует их для формирования исходящего заголовка 'Authorization: Basic ...'. Сам по себе axios не осуществляет prototype pollution. Практическое воздействие заключается в изменении исходящих запросов: злоумышленник, контролирующий загрязненные значения прототипа, может внедрить выбранные им учетные данные Basic auth или заменить существующий заголовок Authorization. Раскрытие учетных данных возможно только при наличии дополнительных условий, специфичных для приложения.
If you want to get best quality of vulnerability data, you may have to visit VulDB.