CVE-2026-42042
ŚrednieStreszczenie
Biblioteka Axios, używana jako klient HTTP, przed wersjami 1.15.1 i 0.31.1, miała lukę w logice ochrony tokenów XSRF. Wykorzystywała semantykę prawdziwości/falszywości w JavaScript zamiast ścisłego porównania boolean dla właściwości konfiguracyjnej withXSRFToken.
Ocena ryzyka
Wykorzystanie tej luki może prowadzić do nieautoryzowanego dostępu do zasobów, co stwarza ryzyko dla bezpieczeństwa aplikacji webowych. Atakujący mogą być w stanie obejść mechanizmy ochrony przed atakami XSRF.
Rekomendacja
Zaleca się aktualizację biblioteki Axios do wersji 1.15.1 lub 0.31.1, aby usunąć tę lukę. Należy również przeprowadzić audyt aplikacji w celu zapewnienia, że mechanizmy ochrony XSRF są poprawnie zaimplementowane.
Oryginalny opis (angielski, źródło NVD)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios library's XSRF token protection logic uses JavaScript truthy/falsy semantics instead of strict boolean comparison for the withXSRFToken config property. When this property is set to any truthy non