CVE-2026-67314
Açıklama
axios versiyonları >=1.15.2 ve <1.18.0, Basic auth alt alan yönetimi (lib/adapters/http.js ve lib/helpers/resolveConfig.js) içerisinde okuma taraflı prototype pollution gadget'ları içermektedir. Bir uygulama halihazırda ayrı bir prototype pollution primitifi tarafından etkilenmişse ve kullanıcı adı ve/veya şifre özelliklerini dışarıda bırakan kendi auth nesnesiyle bir axios isteği yaparsa; axios, miras alınan Object.prototype.username ve Object.prototype.password değerlerini okur ve bunları giden bir 'Authorization: Basic ...' başlığı oluşturmak için kullanır. axios'un kendisi prototipleri kirletmez. Pratik etkisi giden isteklerin manipüle edilmesidir: Kirletilmiş prototip değerlerini kontrol eden bir saldırgan, saldırgan tarafından seçilen Basic auth kimlik bilgilerini enjekte edebilir veya mevcut bir Authorization başlığını değiştirebilir. Kimlik bilgileri ifşası yalnızca uygulamaya özgü ek koşullar altında mümkündür.
Nasıl düzeltilir
- axios axios1.18.0 ya da sonraki bir sürüm
- axios1.18.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| axios axios | 1.15.2 ≤ v < 1.18.0 | 1.18.0 |
| axiosnpm | 1.15.2 ≤ v < 1.18.0 | 1.18.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.