CVE-2026-101909 — Axios — Corregido en 0.34.0 / 1.20.0

Axios es un cliente HTTP basado en promesas para el navegador y Node.js. Desde la versión 0.28.0 hasta la 0.34.0 y desde la 1.15.1 hasta la 1.20.0, ToFormData procesa opciones de serialización heredadas y propiedades visitor proporcionadas mediante contaminación de prototipos. Un fallo independiente de contaminación de prototipos dentro del mismo proceso proporciona valores heredados de dots, indexes, metaTokens, maxDepth, visitor o Blob antes de la serialización del objeto. Las opciones heredadas alteran la asignación de nombres de campos y la interpretación de datos de toFormData, maxDepth puede provocar el fallo de la solicitud, Blob cambia el tratamiento de los valores y un visitor contaminado puede ejecutarse cuando un atacante ya tiene la capacidad más potente de inyectar una función. La asignación de nombres de campos serializados y la interpretación de datos pueden cambiar, maxDepth puede provocar el fallo de la solicitud, Blob puede alterar el tratamiento de los valores y un visitor contaminado puede ejecutarse con la primitiva más potente de inyección de funciones. Este problema se corrigió en las versiones 0.34.0 y 1.20.0.