CVE-2026-101907 — Axios — Corretto in 1.20.0

Axios è un client HTTP basato su promise per il browser e Node.js. Dalla versione 1.17.0 fino alla 1.20.0, il fetch adapter ignora la politica di reindirizzamento maxRedirects: 0. Una richiesta Axios usa il fetch adapter con maxRedirects impostato a zero e riceve una risposta di reindirizzamento. L'implementazione sottostante di fetch segue il reindirizzamento invece di restituire invariata la risposta di reindirizzamento. La richiesta reindirizzata può accedere a risposte interne o raggiungere endpoint interni che modificano lo stato, nonostante i reindirizzamenti siano disabilitati. Il problema è stato risolto nella versione 1.20.0.