CVE-2026-42035
Açıklama
Axios, tarayıcı ve Node.js için promise tabanlı bir HTTP istemcisidir. 1.15.1 ve 0.31.1 sürümlerinden önce, Axios HTTP adaptöründe (lib/adapters/http.js), bir saldırganın giden isteklere rastgele HTTP başlıkları eklemesine izin veren bir prototype pollution gadget'ı bulunmaktadır. Zafiyet, veri yükünün duck-type kontrolünü istismar eder; eğer Object.prototype; getHeaders, append, pipe, on, once ve Symbol.toStringTag ile kirletilmişse, Axios herhangi bir düz nesne yükünü hatalı bir şekilde FormData örneği olarak tanımlar ve saldırgan tarafından kontrol edilen getHeaders() fonksiyonunu çağırarak döndürülen başlıkları giden istekle birleştirir. Savunmasız kod yalnızca lib/adapters/http.js dosyasında yer almaktadır. Prototype pollution kaynağının doğrudan Axios'tan gelmesi gerekmez; uygulamanın bağımlılık ağacındaki herhangi bir bağımlılıktaki herhangi bir prototype pollution primitifi bu gadget'ı tetiklemek için yeterlidir. Bu zafiyet 1.15.1 ve 0.31.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- axios axios0.31.1, 1.15.1 ya da sonraki bir sürüm
- axios1.15.1, 0.31.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| axios axios | v < 0.31.1, 1.0.0 ≤ v < 1.15.1 | 0.31.1, 1.15.1 |
| axiosnpm | 1.0.0 ≤ v < 1.15.1, v < 0.31.1 | 1.15.1, 0.31.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.