CVE-2026-44494

Axios brauzer və Node.js üçün promise əsaslı HTTP müştərisidir. 1.0.0-dan 1.16.0-dan əvvələ qədər Axios kitabxanası Prototip Çirklənməsi "Gadget" hücumuna həssasdır və bu, tətbiqin asılılıq ağacındakı hər hansı Object.prototype çirklənməsinin tam Man-in-the-Middle (MITM) hücumuna — autentifikasiya məlumatları daxil olmaqla bütün HTTP trafikinin tutulması, oxunması və dəyişdirilməsinə çevrilməsinə imkan verir. lib/adapters/http.js:670 ünvanındakı HTTP adapteri config.proxy-ni standart xassə girişi vasitəsilə oxuyur ki, bu da prototip zəncirini keçir. proxy Axios defoltlarında mövcud olmadığı üçün birləşdirilmiş config obyektinin öz proxy xassəsi yoxdur və bu, onu prototip çirklənməsi vasitəsilə asanlıqla inyeksiya edilə bilən edir. İnyeksiya edildikdən sonra setProxy() bütün HTTP sorğularını hücumçunun proxy serveri vasitəsilə yönləndirir. Bu zəiflik 1.16.0-da düzəldilmişdir.