CVE-2026-101909

Axios brauzer və Node.js üçün promise əsaslı HTTP klientidir. 0.28.0 versiyasından 0.34.0-a qədər və 1.15.1 versiyasından 1.20.0-a qədər olan versiyalarda ToFormData, prototype pollution vasitəsilə təmin edilən miras qalmış seriyallaşdırma seçimlərini və visitor xüsusiyyətlərini emal edir. Eyni prosesdəki ayrı bir prototype pollution çatışmazlığı obyekt seriyallaşdırılmadan əvvəl miras qalmış dots, indexes, metaTokens, maxDepth, visitor və ya Blob dəyərlərini təmin edir. Miras qalmış seçimlər toFormData sahə adlandırmasını və məlumat interpretasiyasını dəyişdirir, maxDepth sorğunun uğursuz olmasına səbəb ola bilər, Blob dəyərin idarə olunmasını dəyişir və hücumçu artıq funksiya inyeksiya etmək kimi daha güclü imkana malik olduqda çirkləndirilmiş visitor icra oluna bilər. Seriyallaşdırılmış sahə adlandırması və məlumat interpretasiyası dəyişə bilər, maxDepth sorğu xətasına səbəb ola bilər, Blob dəyərin idarə olunmasını dəyişə bilər və daha güclü funksiya-inyeksiya primitivi altında çirkləndirilmiş visitor icra oluna bilər. Bu problem 0.34.0 və 1.20.0 versiyalarında düzəldilib.