CVE-2026-67316
Publiée le 2026-08-01 · Dernière modification le 2026-09-01
Les applications utilisant le client HTTP axios sont affectées si une autre partie du code est déjà vulnérable à la pollution de prototype (prototype pollution). Un attaquant peut exploiter cela pour injecter des données non autorisées dans les requêtes sortantes ou rediriger le trafic via un proxy malveillant. Cette opération est difficile à exécuter car elle nécessite la présence préalable d'une vulnérabilité distincte pour « polluer » l'objet de base du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
axios is vulnerable to read-side prototype-pollution gadgets that can alter request construction when Object.prototype has already been polluted by a separate vulnerability or dependency. In the bodyless method aliases (axios.get(), axios.delete(), axios.head(), axios.options()), inherited data is read via (config || {}).data before config normalization, causing an attacker-controlled body to be sent on requests that did not set one. Additional low-level paths, only reachable when calling exported adapters/helpers (e.g. lib/adapters/http.js, unsafe/helpers/resolveConfig.js) directly with plain configs and no own proxy or paramsSerializer, can inherit polluted proxy values (routing requests through an attacker-controlled proxy) or paramsSerializer values (attacker-controlled URL serialization). These low-level gadgets do not reproduce through normal high-level axios calls on 1.15.2+. The issue is fixed in axios 1.18.0 and 0.33.0.