PT-2026-35053 · Npm · Axios
CVSS v3.1
7.4
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
Name of the Vulnerable Software and Affected Versions
Axios versões 1.0.0 até 1.15.1
Description
Axios é um cliente HTTP baseado em promessas para o navegador e Node.js. A biblioteca é suscetível a um ataque de Prototype Pollution Gadget. Isso ocorre porque a função transformResponse padrão chama JSON.parse(data, this.parseReviver), onde
this é o objeto de configuração mesclado. Como parseReviver não está presente nos padrões, não é validado por assertOptions e não possui restrições, uma função Object.prototype.parseReviver poluída é executada para cada par chave-valor em cada resposta JSON. Isso permite que um invasor modifique seletivamente valores individuais em respostas de API JSON, o que pode levar a escalada de privilégios, manipulação de saldo e bypass de autorização.Recommendations
Atualize o Axios para a versão 1.15.2.
Exploit
Correção
LPE
Prototype Pollution
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Axios