CVE-2026-42042
Açıklama
Axios, tarayıcı ve Node.js için promise tabanlı bir HTTP istemcisidir. 1.15.1 ve 0.31.1 sürümlerinden önce, Axios kütüphanesinin XSRF belirteç koruma mantığı, withXSRFToken yapılandırma özelliği için katı boolean karşılaştırması yerine JavaScript truthy/falsy semantiğini kullanmaktadır. Bu özellik, herhangi bir truthy ancak boolean olmayan bir değere ayarlandığında (prototype pollution veya yanlış yapılandırma yoluyla), aynı köken kontrolü (isURLSameOrigin) devre dışı kalmakta ve bu durum XSRF belirteçlerinin, saldırgan tarafından kontrol edilen çapraz kökenli sunucular da dahil olmak üzere tüm istek hedeflerine gönderilmesine neden olmaktadır. Bu güvenlik açığı 1.15.1 ve 0.31.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- axios axios0.31.1, 1.15.1 ya da sonraki bir sürüm
- axios1.15.1, 0.31.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| axios axios | v < 0.31.1, 1.0.0 ≤ v < 1.15.1 | 0.31.1, 1.15.1 |
| axiosnpm | 1.0.0 ≤ v < 1.15.1, v < 0.31.1 | 1.15.1, 0.31.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.