CVE-2026-40175
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Axios przed wersjami 1.15.0 i 0.3.1 umożliwia atak typu gadget-style, w którym zanieczyszczenie prototypu w zależności innej firmy może być wykorzystane do wstrzyknięcia niesanitowanych wartości nagłówków do wychodzących żądań HTTP.
Ocena ryzyka
Organizacja narażona jest na ryzyko wysyłania niesanitowanych nagłówków HTTP, co może prowadzić do ataków typu wstrzyknięcie nagłówka, przejęcia sesji lub innych naruszeń bezpieczeństwa aplikacji.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Axios do wersji 1.15.0 lub 0.3.1, które zawierają poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Axios is a promise based HTTP client for the browser and Node.js. Versions prior to 1.15.0 and 0.3.1 are vulnerable to a specific gadget-style attack chain in which prototype pollution in a third-party dependency may be leveraged to inject unsanitized header values into outbound requests. This vulnerability is fixed in 1.15.0 and 0.3.1.