PT-2026-35050 · Npm · Axios

August829

·

Publicado

2026-04-24

·

Atualizado

2026-06-08

·

CVE-2026-42041

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Name of the Vulnerable Software and Affected Versions Axios versões anteriores a 1.15.1 Axios versões anteriores a 0.31.1
Description A biblioteca está suscetível a um ataque de Prototype Pollution Gadget. Isso ocorre porque a propriedade de configuração validateStatus utiliza a estratégia de mesclagem mergeDirectKeys, que emprega o operador in do JavaScript, o qual percorre a cadeia de protótipos. Se Object.prototype.validateStatus for poluído com () => true, todas as respostas de erro HTTP (como 401, 403 e 500) são tratadas como respostas bem-sucedidas, ignorando efetivamente a autenticação e o tratamento de erros no nível da aplicação.
Recommendations Atualizar para a versão 1.15.1 ou posterior. Atualizar para a versão 0.31.1 ou posterior.

Exploit

Correção

Prototype Pollution

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-1321CWE-287

Identificadores relacionados

CLEANSTART-2026-BE61221
CLEANSTART-2026-LC05413
CVE-2026-42041
GHSA-W9J2-PVGH-6H63
OPENSUSE-SU-2026:20919-1

Produtos afetados

Axios