CVE-2026-44489
Təsvir
Axios brauzer və Node.js üçün promise əsaslı HTTP klientidir. 1.15.2 versiyasından 1.16.0 versiyasına qədər olan hissədə, utils.merge() tərəfindən yaradılan iç-içə obyektlər (məsələn, config.proxy) hələ də zəncirində Object.prototype olan adi {} kimi qurulur. lib/adapters/http.js:209-223 ünvanındakı setProxy() funksiyası hasOwnProperty yoxlamaları olmadan proxy.username, proxy.password və proxy.auth dəyərlərini oxuyur. Object.prototype.username çirkləndirildikdə, setProxy() hücum edən tərəf tərəfindən idarə olunan etibarlılıq məlumatları ilə Proxy-Authorization başlığını qurur və onu hər bir proksi edilmiş HTTP sorğusuna yerləşdirir. Bu zəiflik 1.16.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- axios1.16.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| axios axios | 1.15.2 | — |
| axiosnpm | 1.15.2 ≤ v < 1.16.0 | 1.16.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.