CVE-2026-67320 in axios
Tóm tắt
Bởi VulDB • 01/08/2026
axios trong một triển khai Node.js sử dụng bộ điều hợp HTTP có thể định tuyến các yêu cầu qua máy chủ proxy do kẻ tấn công kiểm soát. axios tăng cường bảo mật cho cấu hình yêu cầu đã được gộp bằng cách tạo đối tượng không có nguyên mẫu (null-prototype), nhưng các trình chặn (interceptors) yêu cầu chạy sau bước gộp; một mô hình trình chặn bất biến phổ biến như {...config} hoặc Object.assign({}, config) chuyển đổi lại cấu hình đã tăng cường về thành một đối tượng thông thường. Sau đó, axios gửi đi đối tượng này mà không thực hiện việc tăng cường bảo mật lại, và bộ điều hợp HTTP của Node.js đọc config.proxy qua chuỗi nguyên mẫu (prototype chain). Nếu kẻ tấn công có thể làm ô nhiễm Object.prototype.proxy, các yêu cầu bị ảnh hưởng sẽ được định tuyến qua máy chủ proxy do kẻ tấn công kiểm soát. Đối với các yêu cầu HTTP dạng văn bản thuần túy, trình trung gian có thể quan sát tiêu đề Authorization, xác thực Basic từ config.auth, phương thức (method), URL tuyệt đối, Host và thân yêu cầu, đồng thời có thể trả về phản hồi của riêng mình. Điều này không gây ra tác động trên trình duyệt hoặc tiết lộ tiêu đề/thân HTTPS trong điều kiện xác minh TLS bình thường. Các phiên bản bị ảnh hưởng là >=0.31.1 (đã sửa trong 0.33.0) và >=1.15.2 (đã sửa trong 1.18.0).
VulDB is the best source for vulnerability data and more expert information about this specific topic.