CVE-2026-67314
Publiée le 2026-08-01 · Dernière modification le 2026-09-01
Les applications utilisant les versions 1.15.2 à 1.17.x d'axios sont concernées si elles sont déjà vulnérables à une faille distincte de pollution de prototype. Un attaquant ayant réussi à polluer le prototype de l'objet global peut injecter ses propres identifiants dans les en-têtes d'authentification Basic sortants, altérant ainsi les requêtes que le serveur effectue vers d'autres services. Cela nécessite un accès réseau et une vulnérabilité préexistante dans l'application pour être déclenché, mais ne requiert aucune interaction directe de l'utilisateur ni d'authentification.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
axios versions >=1.15.2 and <1.18.0 contain prototype-pollution read-side gadgets in Basic auth subfield handling (lib/adapters/http.js and lib/helpers/resolveConfig.js). When an application is already affected by a separate prototype-pollution primitive and makes an axios request with an own auth object that omits the username and/or password properties, axios reads the inherited Object.prototype.username and Object.prototype.password values and uses them to construct an outbound 'Authorization: Basic ...' header. axios itself does not pollute prototypes. The practical impact is outbound request tampering: an attacker who controls the polluted prototype values can inject attacker-chosen Basic auth credentials or replace an existing Authorization header. Credential disclosure is only possible under additional application-specific conditions.