CVE-2026-67316

axios, Object.prototype artıq ayrı bir zəiflik və ya asılılıq tərəfindən çirkləndirildikdə sorğu quruluşunu dəyişdirə bilən oxuma tərəfli prototip çirklənməsi (prototype pollution) gadjetlərinə qarşı həssasdır. Gövdəsiz metod aliaslarında (axios.get(), axios.delete(), axios.head(), axios.options()), miras alınan məlumatlar konfiqurasiya normallaşdırılmamışdan əvvəl (config || {}).data vasitəsilə oxunur ki, bu da gövdəsi təyin edilməmiş sorğularda hücumçu tərəfindən idarə olunan gövdənin göndərilməsinə səbəb olur. Yalnız ixrac edilmiş adapterlər/köməkçiləri (məsələn, lib/adapters/http.js, unsafe/helpers/resolveConfig.js) birbaşa sadə konfiqurasiyalarla və öz proxy və ya paramsSerializer-i olmadan çağırdıqda əlçatan olan əlavə aşağı səviyyəli yollar, çirklənmiş proxy dəyərlərini (sorğuların hücumçu tərəfindən idarə olunan proxy vasitəsilə yönləndirilməsi) və ya paramsSerializer dəyərlərini (hücumçu tərəfindən idarə olunan URL seriyallaşdırması) miras ala bilər. Bu aşağı səviyyəli gadjetlər 1.15.2+ versiyalarında normal yüksək səviyyəli axios çağırışları vasitəsilə təkrar istehsal olunmur. Problem axios 1.18.0 və 0.33.0 versiyalarında düzəldilmişdir.