CVE-2025-69202

Axios Cache Interceptor, axios üçün keş interseptorudur. Versiya 1.11.1-dən əvvəl, server fərqli autentifikasiya tokenləri istifadə edərək yuxarı axın (upstream) xidmətini çağırdıqda, axios-cache-interceptor yanlış keşlənmiş cavablar qaytarır ki, bu da autentifikasiyadan yan keçməyə səbəb olur. Keş açarı yalnız URL-dən generasiya edilir və `Authorization` kimi sorğu başlıqları nəzərə alınmır. Server `Vary: Authorization` (cavabın autentifikasiya tokeninə görə dəyişdiyini göstərən) başlığı ilə cavab verdikdə, kitabxana bunu görməzdən gəlir və bütün sorğuların autentifikasiyadan asılı olmayaraq eyni keşi paylaşmasına səbəb olur. Yuxarı axın xidmətlərinə olan sorğuları keşləmək üçün axios-cache-interceptor-dan istifadə edən, fərqli autentifikasiya tokenlərinə malik çox sayda istifadəçidən gələn sorğuları emal edən və yuxarı axın xidmətləri keşləri fərqləndirmək üçün `Vary` başlığından istifadə edən server tərəfli tətbiqlər (API-lər, proksilər, backend xidmətləri) təsirlənir. Brauzer/klient tərəfli tətbiqlər (brauzer sessiyasında bir istifadəçi) təsirlənmir. Yuxarı axın xidmətlərini çağırmaq üçün fərqli autentifikasiya tokenləri istifadə edən xidmətlər yanlış keşlənmiş məlumatlar qaytaracaq, bu da autentifikasiya yoxlamalarının yan keçilməsinə və müxtəlif autentifikasiya edilmiş sessiyalar arasında istifadəçi məlumatlarının sızmasına səbəb olacaq. `v1.11.1` versiyasından sonra avtomatik `Vary` başlığı dəstəyi standart olaraq aktiv edilib. Server `Vary: Authorization` başlığı ilə cavab verdikdə, keş açarları artıq autentifikasiya başlığının dəyərini də daxil edir. Hər bir istifadəçi öz şəxsi keşinə sahib olur.