CVE-2026-42042
MediumSummary
Biblioteka Axios, używana jako klient HTTP, przed wersjami 1.15.1 i 0.31.1, miała lukę w logice ochrony tokenów XSRF. Wykorzystywała semantykę prawdziwości/falszywości w JavaScript zamiast ścisłego porównania boolean dla właściwości konfiguracyjnej withXSRFToken.
Risk Assessment
Wykorzystanie tej luki może prowadzić do nieautoryzowanego dostępu do zasobów, co stwarza ryzyko dla bezpieczeństwa aplikacji webowych. Atakujący mogą być w stanie obejść mechanizmy ochrony przed atakami XSRF.
Recommendation
Zaleca się aktualizację biblioteki Axios do wersji 1.15.1 lub 0.31.1, aby usunąć tę lukę. Należy również przeprowadzić audyt aplikacji w celu zapewnienia, że mechanizmy ochrony XSRF są poprawnie zaimplementowane.
Original NVD description (English source)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios library's XSRF token protection logic uses JavaScript truthy/falsy semantics instead of strict boolean comparison for the withXSRFToken config property. When this property is set to any truthy non