CVE-2026-101905 — Axios — Behoben in 1.20.0

Axios ist ein promise-basierter HTTP-Client für den Browser und Node.js. Von 1.15.2 bis 1.20.0 übergibt der Node-HTTP-Adapter in lib/adapters/http.js Request-Optionen ohne einen eigenen createConnection-Wert. Eine separate Prototype-Pollution-Schwachstelle im selben Prozess platziert eine Funktion auf Object.prototype.createConnection. Node löst die geerbte createConnection-Socket-Factory auf und ruft sie auf, wodurch die vom Angreifer kontrollierte Funktion den Transportendpunkt auswählen kann. Der Angreiferendpunkt kann Request-Header und -Bodies, einschließlich Zugangsdaten, empfangen und vom Angreifer kontrollierte Antworten zurückgeben, während die URL legitim erscheint. Dieses Problem wurde in Version 1.20.0 behoben.