CVE-2026-44494
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
Biblioteka Axios w wersjach od 1.0.0 do 1.15.0 jest podatna na atak typu Prototype Pollution, który umożliwia eskalację zanieczyszczenia prototypu Object.prototype do pełnego ataku Man-in-the-Middle (MITM). Atakujący może przechwytywać, odczytywać i modyfikować cały ruch HTTP, w tym dane uwierzytelniające.
Ocena ryzyka
Organizacja narażona jest na przechwycenie poufnych danych, takich jak hasła i tokeny sesji, oraz na modyfikację przesyłanych informacji, co może prowadzić do naruszenia integralności systemów i kradzieży tożsamości.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Axios do wersji 1.16.0 lub nowszej, która zawiera poprawkę eliminującą podatność. W międzyczasie zaleca się ograniczenie zaufania do zewnętrznych zależności i monitorowanie ruchu sieciowego.
Oryginalny opis (angielski, źródło NVD)
Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.16.0, the Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escalated into a full Man-in-the-Middle (MITM) attack — intercepting, reading, and modifying all HTTP traffic including authentication credentials. The HTTP adapter at lib/adapters/http.js:670 reads config.proxy via standard property access, which traverses the prototype chain. Because proxy is not present in Axios defaults, the merged config object has no own proxy property, making it trivially injectable via prototype pollution. Once injected, setProxy() routes all HTTP requests through the attacker's proxy server. This vulnerability is fixed in 1.16.0.