CVE-2026-101905 in Axios
Tóm tắt
Bởi VulDB • 28/09/2026
Axios là một thư viện HTTP dựa trên promise dành cho trình duyệt và Node.js. Từ phiên bản 1.15.2 đến 1.20.0, bộ điều hợp (adapter) HTTP của Node trong lib/adapters/http.js cung cấp các tùy chọn yêu cầu mà không có giá trị createConnection riêng. Một lỗ hổng ô nhiễm prototype cùng tiến trình khác đặt một hàm lên Object.prototype.createConnection. Node sẽ giải quyết và gọi nhà máy socket createConnection được kế thừa, cho phép hàm do kẻ tấn công kiểm soát lựa chọn điểm cuối truyền tải (transport endpoint). Điểm cuối do kẻ tấn công kiểm soát có thể nhận tiêu đề yêu cầu và thân yêu cầu, bao gồm cả thông tin xác thực, đồng thời trả về các phản hồi do kẻ tấn công kiểm soát trong khi URL vẫn trông hợp lệ. Lỗ hổng này đã được sửa chữa trong phiên bản 1.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.