CVE-2026-101908
Açıklama
Axios, tarayıcı ve Node.js için promise tabanlı bir HTTP istemcisidir. 1.7.0 ile 1.20.0 sürümleri arasında, fetch adaptörü sanitize edilmiş resolvedOptions ile bir Request oluşturmakta ancak ardından orijinal fetchOptions ile fetch fonksiyonunu çağırmaktadır. Aynı süreçteki ayrı bir prototype pollution açığı Object.prototype.headers kısmını doldurarak fetchOptions.headers değerinin kalıtım yoluyla çözülmesini sağlar. Kalıtımla gelen fetchOptions.headers değeri, Request oluşturulduktan sonra fetch fonksiyonuna iletilen ikinci argüman aracılığıyla sanitize edilmiş Request başlıklarının üzerine yazar. Saldırgan tarafından kontrol edilen istek başlıkları; yetkilendirmeyi, önbelleğe almayı, metadata-service erişimini veya uygulamaya özgü davranışları değiştirebilir. Bu sorun 1.20.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- axios1.20.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| axiosnpm | 1.7.0 ≤ v < 1.20.0 | 1.20.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.