CVE-2026-42037
MediumSummary
Axios to klient HTTP oparty na obietnicach, używany w przeglądarkach i Node.js. W wersjach od 1.0.0 do przed 1.15.1 konstruktor FormDataPart w pliku lib/helpers/formDataToStream.js interpoluje wartość type bez sanitizacji sekwencji CRLF ( ) w nagłówku Content-Type każdej części multipart.
Risk Assessment
Atakujący może wykorzystać tę podatność do wstrzykiwania złośliwych nagłówków, co może prowadzić do ataków typu injection lub innych nieautoryzowanych działań w aplikacji.
Recommendation
Zaleca się aktualizację biblioteki Axios do wersji 1.15.1 lub nowszej, aby usunąć tę podatność oraz zapewnić odpowiednią sanitizację nagłówków.
Original NVD description (English source)
Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.15.1, the FormDataPart constructor in lib/helpers/formDataToStream.js interpolates value.type directly into the Content-Type header of each multipart part without sanitizing CRLF (\r\n) sequences. An attacker wh