CVE-2026-101905 — Axios — Corregido en 1.20.0

Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 1.15.2 hasta la 1.20.0, el adaptador HTTP de Node en lib/adapters/http.js proporciona opciones de solicitud sin un valor propio para createConnection. Una falla independiente de contaminación de prototipos en el mismo proceso coloca una función en Object.prototype.createConnection. Node resuelve e invoca la fábrica de sockets heredada createConnection, lo que permite que la función controlada por el atacante seleccione el endpoint de transporte. El endpoint del atacante puede recibir encabezados y cuerpos de solicitudes, incluidas credenciales, y devolver respuestas controladas por el atacante mientras la URL parece legítima. Este problema se corrige en la versión 1.20.0.