CVE-2026-40175

Name of the Vulnerable Software and Affected Versions axios versões anteriores a 1.15.0 axios versões anteriores a 0.3.1

Description A biblioteca axios é vulnerável a uma cadeia de ataque do tipo gadget, na qual a poluição de protótipo (prototype pollution) em qualquer dependência de terceiros pode ser escalada. Isso ocorre porque a biblioteca não sanitiza os valores dos cabeçalhos HTTP para caracteres de retorno de carro e alimentação de linha (CRLF), permitindo que um invasor injete requisições HTTP separadas. Isso pode levar ao contrabando de requisições (request smuggling), falsificação de requisição do lado do servidor (SSRF) e a evasão do AWS IMDSv2 para exfiltrar metadados da nuvem e credenciais IAM, resultando potencialmente em execução remota de código (RCE) ou comprometimento total da nuvem. O problema é particularmente arriscado ao usar adaptadores personalizados do axios ou configurações não padronizadas que ignoram a pilha HTTP padrão do Node.js, já que o runtime normalmente bloqueia a injeção de CRLF.

Recommendations Atualize o axios para a versão 1.15.0 ou superior. Atualize o axios para a versão 0.3.1 ou superior. Como medida paliativa temporária, restrinja o uso de adaptadores personalizados do axios ou construções manuais de requisições que ignorem a pilha HTTP padrão.