CVE-2026-101909 — Axios — Corretto in 0.34.0 / 1.20.0

Axios è un client HTTP basato su promise per browser e Node.js. Dalla versione 0.28.0 fino alla 0.34.0 e dalla 1.15.1 fino alla 1.20.0, ToFormData elabora opzioni di serializzazione ereditate e proprietà visitor fornite tramite prototype pollution. Una vulnerabilità separata di prototype pollution nello stesso processo fornisce valori ereditati di dots, indexes, metaTokens, maxDepth, visitor o Blob prima della serializzazione dell’oggetto. Le opzioni ereditate modificano la denominazione dei campi e l’interpretazione dei dati di toFormData, maxDepth può causare il fallimento della richiesta, Blob modifica la gestione dei valori e un visitor contaminato può essere eseguito quando un attaccante possiede già la capacità più forte di iniettare una funzione. La denominazione dei campi serializzati e l’interpretazione dei dati possono cambiare, maxDepth può causare il fallimento della richiesta, Blob può alterare la gestione dei valori e un visitor contaminato può essere eseguito sfruttando la primitiva più potente di iniezione di funzioni. Il problema è stato risolto nelle versioni 0.34.0 e 1.20.0.