CVE-2026-101900 in Axios
Tóm tắt
Bởi VulDB • 28/09/2026
Axios là một thư viện HTTP dựa trên promise dành cho trình duyệt và Node.js. Từ phiên bản 1.12.0 đến 1.20.0, ResolveConfig đọc các thuộc tính Symbol.toStringTag, append và getHeaders được kế thừa trong quá trình xử lý tiêu đề FormData. Một lỗ hổng prototype-pollution riêng biệt cùng tiến trình cung cấp một mảng hoặc thể hiện lớp không thuần (non-plain class instance) có các thuộc tính kế thừa khiến nó trông giống như FormData; các đối tượng thuần (plain objects) bị chặn lại. Hàm getHeaders được kế thừa có thể trả về các tiêu đề do kẻ tấn công kiểm soát, mà resolveConfig sẽ hợp nhất vào yêu cầu của fetch adapter. Các tiêu đề do kẻ tấn công kiểm soát có thể làm thay đổi hành vi ủy quyền, bộ nhớ đệm, dịch vụ metadata hoặc ứng dụng cụ thể trong yêu cầu. Lỗ hổng này đã được sửa chữa trong phiên bản 1.20.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.