CVE-2026-101909 — Axios — Corrigé dans 0.34.0 / 1.20.0

Axios est un client HTTP basé sur les promesses pour le navigateur et Node.js. Des versions 0.28.0 à 0.34.0 et 1.15.1 à 1.20.0, ToFormData traite les options de sérialisation et les propriétés visitor héritées fournies par le biais d’une pollution de prototype. Une faille distincte de pollution de prototype au sein du même processus fournit des valeurs héritées pour dots, indexes, metaTokens, maxDepth, visitor ou Blob avant la sérialisation des objets. Les options héritées modifient le nommage des champs et l’interprétation des données de toFormData, maxDepth peut provoquer l’échec de la requête, Blob modifie le traitement des valeurs et un visitor pollué peut s’exécuter si un attaquant dispose déjà de la capacité supérieure d’injecter une fonction. Le nommage des champs sérialisés et l’interprétation des données peuvent changer, maxDepth peut provoquer l’échec de la requête, Blob peut modifier le traitement des valeurs et un visitor pollué peut s’exécuter avec la primitive plus puissante d’injection de fonction. Ce problème est corrigé dans les versions 0.34.0 et 1.20.0.