CVE-2025-69202

Axios Cache Interceptor, axios için bir önbellek araya giricisidir. 1.11.1 sürümünden önce, bir sunucu farklı kimlik doğrulama belirteçleri kullanarak bir üst akış hizmetini çağırdığında, axios-cache-interceptor yanlış önbelleğe alınmış yanıtlar döndürerek yetkilendirme atlatmaya yol açıyordu. Önbellek anahtarı yalnızca URL'den oluşturuluyor ve `Authorization` gibi istek başlıklarını yok sayıyordu. Sunucu `Vary: Authorization` ile yanıt verdiğinde (yanıtın kimlik doğrulama belirtecine göre değiştiğini belirtir), kütüphane bunu yok sayarak tüm isteklerin yetkilendirmeden bağımsız olarak aynı önbelleği paylaşmasına neden oluyordu. Üst akış hizmetlerine yapılan istekleri önbelleğe almak için axios-cache-interceptor kullanan, farklı kimlik doğrulama belirteçlerine sahip birden çok kullanıcıdan gelen istekleri işleyen ve üst akış hizmetlerinin önbellekleri ayırt etmek için `Vary` yanıtına dayandığı sunucu tarafı uygulamalar (API'ler, proxy'ler, arka uç hizmetleri) etkilenir. Tarayıcı/istemci tarafı uygulamalar (tarayıcı oturumu başına tek kullanıcı) etkilenmez. Üst akış hizmetlerini çağırmak için farklı kimlik doğrulama belirteçleri kullanan hizmetler, yanlış önbelleğe alınmış veriler döndürerek yetkilendirme kontrollerini atlatacak ve farklı kimliği doğrulanmış oturumlar arasında kullanıcı verilerini sızdıracaktır. `v1.11.1` sonrasında, otomatik `Vary` başlık desteği artık varsayılan olarak etkindir. Sunucu `Vary: Authorization` ile yanıt verdiğinde, önbellek anahtarları artık yetkilendirme başlığı değerini içerir. Her kullanıcı kendi önbelleğini alır.