FICHE CVE

CVE-2026-42042

Publiée le 2026-04-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant des versions affectées du client HTTP Axios sont vulnérables à la fuite de jetons XSRF sensibles vers des serveurs externes. Un attaquant peut voler ces jetons s'il parvient à inciter un utilisateur connecté à visiter un site web malveillant ou s'il peut influencer la configuration de l'application via une pollution de prototype (prototype pollution). Cela ne nécessite aucun privilège ou authentification particulière, bien que cela dépende d'une interaction de l'utilisateur pour déclencher la requête.

CVSS 3.15.4 MOYENNE

Type de faiblesse

CWE-183 CWE-201

Publiée2026-04-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios library's XSRF token protection logic uses JavaScript truthy/falsy semantics instead of strict boolean comparison for the withXSRFToken config property. When this property is set to any truthy non-boolean value (via prototype pollution or misconfiguration), the same-origin check (isURLSameOrigin) is short-circuited, causing XSRF tokens to be sent to all request targets including cross-origin servers controlled by an attacker. This vulnerability is fixed in 1.15.1 and 0.31.1.