CVE-2023-45857
ŚrednieStreszczenie
W Axios 1.5.1 wykryto problem, który nieumyślnie ujawnia poufny token XSRF-TOKEN przechowywany w ciasteczkach. Token ten jest dołączany do nagłówka HTTP X-XSRF-TOKEN w każdym żądaniu wysyłanym do dowolnego hosta, co pozwala atakującym na podejrzenie wrażliwych informacji.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może przechwycić token XSRF-TOKEN, co umożliwia przeprowadzenie ataków typu Cross-Site Request Forgery (CSRF) i kradzież sesji użytkownika.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Axios do wersji 1.6.0 lub nowszej, która zawiera poprawkę usuwającą to niepożądane zachowanie.
Oryginalny opis (angielski, źródło NVD)
An issue discovered in Axios 1.5.1 inadvertently reveals the confidential XSRF-TOKEN stored in cookies by including it in the HTTP header X-XSRF-TOKEN for every request made to any host allowing attackers to view sensitive information.