CVE-2026-42042
Təsvir
Axios brauzer və Node.js üçün promise əsaslı HTTP klientidir. 1.15.1 və 0.31.1 versiyalarından əvvəl Axios kitabxanasının XSRF token qoruması məntiqi `withXSRFToken` konfiqurasiya xüsusiyyəti üçün ciddi boolean müqayisəsi əvəzinə JavaScript-in truthy/falsy semantikasından istifadə edir. Bu xüsusiyyət hər hansı truthy olmayan-boolean dəyərə təyin edildikdə (prototip çirklənməsi və ya yanlış konfiqurasiya vasitəsilə), eyni mənşə yoxlaması (`isURLSameOrigin`) qısaldılır və bu da XSRF tokenlərinin hücumçu tərəfindən idarə olunan cross-origin serverlər də daxil olmaqla bütün sorğu hədəflərinə göndərilməsinə səbəb olur. Bu zəiflik 1.15.1 və 0.31.1 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- axios axios0.31.1, 1.15.1 və ya daha yeni versiya
- axios1.15.1, 0.31.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| axios axios | v < 0.31.1, 1.0.0 ≤ v < 1.15.1 | 0.31.1, 1.15.1 |
| axiosnpm | 1.0.0 ≤ v < 1.15.1, v < 0.31.1 | 1.15.1, 0.31.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.