CVE-2026-42044

Axios brauzer və Node.js üçün promise əsaslı HTTP klientidir. 1.0.0 versiyasından 1.15.2 versiyasına qədər olan Axios kitabxanası, tətbiqin asılılıq ağacındakı hər hansı Object.prototype çirklənməsinin bütün JSON API cavablarının cərrahi və görünməz şəkildə dəyişdirilməsinə — o cümlədən imtiyazların yüksəldilməsinə, balans manipulyasiyasına və autentifikasiyadan yan keçməyə çevrilməsinə şərait yaradan Prototype Pollution "Gadget" hücumuna qarşı həssasdır. lib/defaults/index.js:124 ünvanındakı standart transformResponse funksiyası JSON.parse(data, this.parseReviver) metodunu çağırır, burada "this" birləşdirilmiş konfiqurasiya obyektidir. parseReviver Axios standartlarında mövcud olmadığı, assertOptions tərəfindən yoxlanılmadığı və hər hansı məhdudiyyətə tabe olmadığı üçün, hər bir JSON cavabındakı hər bir açar-dəyər cütlüyü üçün çirklənmiş Object.prototype.parseReviver funksiyası çağırılır ki, bu da hücum edənə cavabın qalan hissəsinə toxunmadan seçilmiş fərdi dəyərləri dəyişdirməyə imkan verir. Bu zəiflik 1.15.2 versiyasında aradan qaldırılmışdır.