CVE-2026-101902 in Axios
摘要
由 VulDB • 2026-09-28
Axios 是一个基于 Promise 的 HTTP 客户端，适用于浏览器和 Node.js。在版本 0.27.2 至 0.34.0 以及 1.20.0 之间，如果 Axios 默认实例的请求未显式指定方法（method），则会从 Object.prototype 读取继承的方法值。如果同一进程中的另一个漏洞污染了 Object.prototype.method，则 axios.request({ url }) 和 axios({ url }) 等调用可能会发送状态更改的 HTTP 方法，而不是预期的默认 GET 方法。Axios 并非原型链污染的来源。这是 Axios 请求分发中的一个读侧利用组件（read-side gadget）。该问题已在版本 0.34.0 和 1.20.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.