GHSA-7q8q-rj6j-mhjq
ŚrednieStreszczenie
Axios może konsumować dziedziczone właściwości z zagnieżdżonych obiektów opcji żądania, gdy proces JavaScript ma już zanieczyszczony Object.prototype. Główna połączona konfiguracja jest chroniona prototypem null, ale zagnieżdżone zwykłe obiekty, takie jak auth i paramsSerializer, są klonowane do obiektów z prototypem.
Ocena ryzyka
Jeśli Object.prototype jest zanieczyszczony, atakujący może wpływać na zachowanie axios poprzez zagnieżdżone opcje, potencjalnie prowadząc do nieautoryzowanego dostępu lub innych ataków.
Rekomendacja
Zaleca się aktualizację axios do wersji, która zawiera poprawki zabezpieczające przed zanieczyszczeniem prototypu w zagnieżdżonych obiektach.
Oryginalny opis (angielski, źródło NVD)
## Summary Axios can consume inherited properties from nested request option objects when the JavaScript process already has a polluted `Object.prototype`. The top-level merged config is protected with a null prototype, but nested plain objects such as `auth` and `paramsSerializer` are cloned into