CVE-2026-42041

Orta

Açıklama

Axios, tarayıcı ve Node.js için promise tabanlı bir HTTP istemcisidir. 1.15.1 ve 0.31.1 sürümlerinden önce Axios kütüphanesi, herhangi bir Object.prototype kirlenmesinin tüm HTTP hata yanıtlarını (401, 403, 500 vb.) sessizce bastırmasına ve bunların başarılı yanıtlar olarak işlenmesine olanak tanıyan bir Prototype Pollution "Gadget" saldırısına karşı savunmasızdır. Bu durum, uygulama düzeyindeki kimlik doğrulamayı ve hata yönetimini tamamen devre dışı bırakır. Temel neden, validateStatus özelliğinin, JavaScript'in doğal olarak prototip zincirinile takip eden in operatörünü kullanan mergeDirectKeys birleştirme stratejisini kullanan tek yapılandırma özelliği olmasıdır. Object.prototype.validateStatus değeri () => true ile kirletildiğinde, tüm HTTP durum kodları başarıyla kabul edilir. Bu güvenlik açığı 1.15.1 ve 0.31.1 sürümlerinde giderilmiştir.

ÖnemOrta

CVSS4.8

İstismar olasılığı—

Ürün

Axios

Yayın24 Nis 2026

İlk görülme24 Nis 2026

Zayıflık türüCWE-287Hatalı kimlik doğrulama CWE-1321Prototip kirletme

Nasıl düzeltilir

Güncelleyin

axios axios0.31.1, 1.15.1 ya da sonraki bir sürüm
axios1.15.1, 0.31.1 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
axios axios	v < 0.31.1, 1.0.0 ≤ v < 1.15.1	0.31.1, 1.15.1
axiosnpm	1.0.0 ≤ v < 1.15.1, v < 0.31.1	1.15.1, 0.31.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.