CVE-2026-101907 — Axios — Corrigé dans 1.20.0

Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. De la version 1.17.0 à la version 1.20.0, l’adaptateur fetch contourne la politique de redirection maxRedirects: 0. Une requête Axios utilise l’adaptateur fetch avec maxRedirects défini sur zéro et reçoit une réponse de redirection. L’implémentation fetch sous-jacente suit la redirection au lieu de renvoyer la réponse de redirection sans la modifier. La requête redirigée peut accéder à des réponses internes ou atteindre des points de terminaison internes modifiant l’état, malgré la désactivation des redirections. Ce problème est corrigé dans la version 1.20.0.