CVE-2026-101898 — Axios — Corretto in 1.20.0

Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.13.0 fino alla 1.20.0, la configurazione delle richieste HTTP/2 di Axios non applica in modo coerente le impostazioni proxy e la policy di ricerca DNS fornita dal chiamante. Una richiesta HTTPS usa httpVersion: 2 con config.proxy esplicito o impostazioni proxy derivate dall'ambiente, oppure si basa sulla policy DNS config.lookup fornita dal chiamante. Il percorso HTTP/2 può connettersi senza il comportamento proxy configurato o senza applicare la policy config.lookup fornita dal chiamante prima di http2.connect(). Le richieste possono aggirare il percorso proxy previsto o la policy di risoluzione DNS fornita dal chiamante. Il problema è risolto nella versione 1.20.0.