CVE-2026-67319
Açıklama
0.33.0 öncesindeki axios (ve 1.18.0 öncesindeki 1.x sürümleri), JavaScript işleminin Object.prototype bileşeni tarafından önceden kirletilmiş olması durumunda, iç içe geçmiş istek seçenek nesnelerinden miras alınan özellikleri tüketebilir. Üst düzey birleştirilmiş yapılandırma null prototipi kullansa da, auth ve paramsSerializer gibi iç içe düz nesneler sıradan nesnelere kopyalanır ve kendi özellik kontrolleri yapılmadan okunur. Bir uygulama auth: {} veya paramsSerializer: {} gibi yer tutucu iç içe nesneler ilettiğinde, miras alınan kullanıcı adı/parola değerleri sessizce bir Authorization: Basic başlığının eklenmesine neden olabilir ve miras alınan encode/serialize değerleri sorgu dizesi serileştirmesini değiştirebilir (tam serileştirici değişimi için fonksiyon değerli bir pollution primitifi gerekir). Bu durum yalnızca mevcut bir prototype pollution varlığında istismar edilebilir.
Nasıl düzeltilir
- axios axios0.33.0, 1.18.0 ya da sonraki bir sürüm
- axios0.33.0, 1.18.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| axios axios | v < 0.33.0, 1.0.0 ≤ v < 1.18.0 | 0.33.0, 1.18.0 |
| axiosnpm | 0.8.0 ≤ v < 0.33.0, 1.0.0 ≤ v < 1.18.0 | 0.33.0, 1.18.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.