CVE-2026-101905 — Axios — Corrigé dans 1.20.0

Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.15.2 à la version 1.20.0, l’adaptateur HTTP de Node dans lib/adapters/http.js fournit des options de requête sans valeur createConnection propre. Une faille distincte de pollution du prototype dans le même processus place une fonction sur Object.prototype.createConnection. Node résout et invoque la fabrique de sockets createConnection héritée, permettant à la fonction contrôlée par l’attaquant de sélectionner le point de terminaison de transport. Le point de terminaison de l’attaquant peut recevoir les en-têtes et les corps des requêtes, y compris les identifiants, et renvoyer des réponses contrôlées par l’attaquant alors que l’URL semble légitime. Ce problème est corrigé dans la version 1.20.0.