CVE-2026-101905 — Axios — Corretto in 1.20.0

Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.15.2 alla 1.20.0, l’adattatore HTTP di Node in lib/adapters/http.js fornisce opzioni di richiesta senza un valore createConnection proprio. Una vulnerabilità separata di prototype pollution nello stesso processo inserisce una funzione in Object.prototype.createConnection. Node risolve e invoca la factory di socket createConnection ereditata, consentendo alla funzione controllata dall’aggressore di selezionare l’endpoint di trasporto. L’endpoint dell’aggressore può ricevere le intestazioni e i corpi delle richieste, incluse le credenziali, e restituire risposte controllate dall’aggressore mentre l’URL appare legittimo. Il problema è stato risolto nella versione 1.20.0.