FICHE CVE

CVE-2026-44494

Publiée le 2026-06-11 · Dernière modification le 2026-09-11

🇫🇷 EN BREF

Les applications utilisant les versions 1.0.0 à 1.15.f d'Axios sont vulnérables à une attaque de l'homme du milieu (Man-in-the-Middle) permettant à un attaquant d'intercepter, de lire et de modifier tout le trafic HTTP, y compris les identifiants sensibles. Cela se produit si une autre vulnérabilité dans votre arbre de dépendances permet une « pollution de prototype », que l'attaquant peut ensuite utiliser pour forcer votre application à acheminer toutes les requêtes via son propre serveur proxy. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, l'exécution est difficile car l'attaquant doit d'abord trouver un moyen de polluer le prototype de l'objet global de l'application.

CVSS 3.18.7 ÉLEVÉE

Type de faiblesse

Publiée2026-06-11

Dernière modification2026-09-11

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.16.0, the Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escalated into a full Man-in-the-Middle (MITM) attack — intercepting, reading, and modifying all HTTP traffic including authentication credentials. The HTTP adapter at lib/adapters/http.js:670 reads config.proxy via standard property access, which traverses the prototype chain. Because proxy is not present in Axios defaults, the merged config object has no own proxy property, making it trivially injectable via prototype pollution. Once injected, setProxy() routes all HTTP requests through the attacker's proxy server. This vulnerability is fixed in 1.16.0.