CVE-2026-42035

إصدارات Axios الأقدم من 1.15.1

إصدارات Axios الأقدم من 0.31.1

توجد أداة تلوث النموذج الأولي في محول HTTP الموجود في ’lib/adapters/http.js‘. تحدث هذه المشكلة بسبب فحص نوع البيانات (duck-type checking) لحمولة البيانات. إذا تم تلويث Object.prototype بـ getHeaders وappend وpipe وon وonce وSymbol.toStringTag، فإن البرنامج يخطئ في تحديد حمولات الكائنات العادية على أنها مثيلات FormData. وهذا يسمح للمهاجم بتشغيل الدالة getHeaders() وحقن رؤوس HTTP تعسفية في الطلبات الصادرة. يمكن أن يكون المشغل أي عنصر أولي لتلوث النموذج الأولي ضمن شجرة تبعيات التطبيق، ولا يشترط أن يكون مصدره البرنامج نفسه.

التحديث إلى الإصدار 1.15.1 أو أحدث.

التحديث إلى الإصدار 0.31.1 أو أحدث.