Axios: twee kwetsbaarheden maken header- en socket-kaping mogelijk via prototype-pollution

Wat is er gebeurd

Twee afzonderlijke advisories beschrijven hoe de interne requestverwerking van axios eigenschappen kan oplossen die zijn overgeërfd van Object.prototype, in plaats van eigenschappen die expliciet zijn ingesteld op een requestconfiguratie-object. Bij CVE-2026-101904 normaliseert de dispatchRequest-functie headers en kan deze een overgeërfde 'headers'-eigenschap oppikken die op Object.prototype is geplaatst, zelfs nadat vertrouwde request-interceptors een schoon configuratie-object hebben teruggegeven. Hierdoor kunnen aanvaller-gecontroleerde headerwaarden, waaronder autorisatie-gerelateerde gegevens, zichtbaar worden voor verdere requestverwerking. Bij CVE-2026-101905 kan de Node HTTP-adapter (lib/adapters/http.js) een overgeërfde 'createConnection'-functie van Object.prototype oplossen wanneer de request-opties geen eigen createConnection-waarde definiëren. Node roept deze overgeërfde functie vervolgens aan als socket-fabriek, waardoor een aanvaller-gecontroleerde functie het daadwerkelijke netwerkeindpunt kan kiezen waarmee de request verbinding maakt, terwijl de URL van de request legitiem blijft lijken.

Technische oorzaak

Beide problemen zijn afhankelijk van een afzonderlijke, in hetzelfde proces aanwezige prototype-pollution-kwetsbaarheid die een eigenschap (headers of createConnection) op Object.prototype instelt. Axios zelf vervuilt het prototype niet; zodra Object.prototype echter is vervuild door een andere component of codepad dat in hetzelfde proces draait, maakt de normalisatie- en adapterlogica van axios geen onderscheid tussen eigen eigenschappen van een configuratie-object en eigenschappen die via de prototypeketen zijn overgeërfd. CVE-2026-101904 is geclassificeerd als CWE-74 (onjuiste neutralisatie van speciale elementen in output die door een downstream-component wordt gebruikt). CVE-2026-101905 is geclassificeerd als CWE-441 (onbedoelde proxy of tussenpersoon / 'confused deputy').

Waarom dit belangrijk is

CVE-2026-101904 heeft een CVSS-score van 6,9 en kan ertoe leiden dat aanvaller-gecontroleerde HTTP-headers, waaronder autorisatie-gerelateerde waarden, downstream-systemen bereiken. CVE-2026-101905 heeft een CVSS-score van 7,6 en is qua impact ernstiger: het stelt een aanvaller-gecontroleerde functie in staat om de daadwerkelijke netwerkverbinding om te leiden naar een eindpunt naar keuze van de aanvaller, waardoor dat eindpunt requestheaders en -bodies (inclusief inloggegevens) kan observeren en verzonnen responses kan teruggeven, terwijl de bedoelde URL van de request ongewijzigd lijkt. Beide problemen vereisen als voorwaarde dat er in hetzelfde proces een afzonderlijk prototype-pollution-probleem bestaat; de fout in axios zit in het ontbreken van bescherming tegen overgeërfde eigenschappen zodra aan die voorwaarde is voldaan.

Getroffen versies

CVE-2026-101904 treft axios vanaf versie 1.0.0 tot, maar niet met inbegrip van, 1.20.0. CVE-2026-101905 treft axios vanaf versie 1.15.2 tot, maar niet met inbegrip van, 1.20.0. Beide problemen zijn verholpen in axios 1.20.0.

Fixes en mitigatie

Beide kwetsbaarheden zijn verholpen in axios 1.20.0. Het factpakket bevat geen details over de specifieke codewijzigingen in de fix, alleen het versienummer. Er is geen informatie verstrekt over alternatieve mitigaties voor omgevingen die niet direct kunnen upgraden.

Aanbevolen actie

Upgrade axios naar versie 1.20.0 of hoger. Omdat beide kwetsbaarheden alleen uitbuitbaar zijn als er elders in hetzelfde proces een afzonderlijk prototype-pollution-probleem bestaat, is het ook raadzaam om de dependency-boom en applicatiecode te controleren op componenten die naar Object.prototype kunnen schrijven, aangezien dat de onderliggende voorwaarde is die beide problemen mogelijk maakt.