CVE-2026-101909 — Axios — Behoben in 0.34.0 / 1.20.0

Axios ist ein promise-basierter HTTP-Client für den Browser und Node.js. Von 0.28.0 bis 0.34.0 und von 1.15.1 bis 1.20.0 verarbeitet ToFormData geerbte Serialisierungsoptionen und Visitor-Eigenschaften, die durch Prototype Pollution bereitgestellt werden. Eine separate Prototype-Pollution-Schwachstelle innerhalb desselben Prozesses stellt geerbte Werte für dots, indexes, metaTokens, maxDepth, visitor oder Blob vor der Objektserialisierung bereit. Die geerbten Optionen verändern die Feldbenennung und Dateninterpretation von toFormData, maxDepth kann einen Request-Fehler erzwingen, Blob ändert die Werteverarbeitung und ein durch Pollution eingeschleuster visitor kann ausgeführt werden, wenn ein Angreifer bereits über die stärkere Fähigkeit verfügt, eine Funktion einzuschleusen. Die Feldbenennung und Dateninterpretation der Serialisierung können sich ändern, maxDepth kann einen Request-Fehler verursachen, Blob kann die Werteverarbeitung verändern und ein durch Pollution eingeschleuster visitor kann mit dem stärkeren Function-Injection-Primitiv ausgeführt werden. Dieses Problem ist in den Versionen 0.34.0 und 1.20.0 behoben.