CVE-2026-101908

Axios brauzer və Node.js üçün promise əsaslı HTTP klientidir. Versiya 1.7.0-dan 1.20.0-a qədər fetch adapteri təmizlənmiş resolvedOptions ilə Request yaradır, lakin daha sonra fetch funksiyasını orijinal fetchOptions ilə çağırır. Eyni prosesdə baş verən ayrı bir prototype pollution boşluğu Object.prototype.headers obyektini doldurur, beləliklə fetchOptions.headers miras yolu ilə təyin edilir. Miras alınan fetchOptions.headers dəyəri, Request qurulduqdan sonra fetch funksiyasının ikinci arqumenti vasitəsilə təmizlənmiş Request başlıqlarını (headers) əvəz edir. Hücumçu tərəfindən idarə olunan sorğu başlıqları avtorizasiyanı, keşləməni, metadata-service girişini və ya tətbiqə xas davranışları dəyişdirə bilər. Bu problem 1.20.0 versiyasında düzəldilmişdir.