Prototype Pollution-gadget in Axios treft toFormData-opties (CVE-2026-101909)

Wat is er gebeurd

Het bleek dat de toFormData-functie van Axios serialisatie-opties en visitor-eigenschappen verwerkt die via de prototype-keten overgeërfd kunnen worden, in plaats van rechtstreeks ingesteld. Dit betekent dat als een aanvaller via een afzonderlijke, onafhankelijke kwetsbaarheid het prototype kan vervuilen, de overgeërfde waarden invloed kunnen hebben op hoe toFormData objecten serialiseert. Dit gadget veroorzaakt zelf niet de initiële prototype pollution; het maakt gebruik van pollution die elders in hetzelfde proces is geïntroduceerd.

Technische oorzaak

De kwetsbaarheid is geclassificeerd als CWE-1321, Improperly Controlled Modification of Object Prototype Attributes (Prototype Pollution). Volgens de advisory kan een afzonderlijke prototype pollution-kwetsbaarheid in hetzelfde proces overgeërfde waarden leveren voor instellingen zoals 'dots', 'indexes', 'metaTokens', 'maxDepth', 'visitor' of 'Blob', voordat toFormData de objectserialisatie uitvoert. Deze overgeërfde opties kunnen veldnamen en de interpretatie van data tijdens serialisatie wijzigen, ervoor zorgen dat maxDepth requests laat mislukken, of de verwerking van Blob-waarden veranderen. Als een aanvaller daarnaast al over de sterkere mogelijkheid beschikt om een functie te injecteren (een afzonderlijke, ernstigere primitive), kan een vervuilde 'visitor'-eigenschap ook worden uitgevoerd.

Waarom dit relevant is

Axios is een van de meest gebruikte HTTP-clientlibraries binnen het JavaScript-ecosysteem, toegepast in zowel browser- als Node.js-applicaties. Een gadget dat prototype pollution benut om dataserialisatie te beïnvloeden, kan leiden tot aangepaste requestdata, denial-of-service door geforceerde requestfouten, of gewijzigde waardeverwerking in getroffen applicaties. De praktische impact in een specifieke omgeving hangt af van de vraag of er elders in de applicatie of zijn afhankelijkheden een onafhankelijke prototype pollution-vector bestaat, aangezien dit probleem op zichzelf een gadget is en geen op zichzelf staande pollution-bron.

Getroffen versies

Er zijn twee afzonderlijke getroffen reeksen gedocumenteerd: Axios-versies vanaf 0.28.0 tot (maar niet inclusief) 0.34.0, en versies vanaf 1.15.1 tot (maar niet inclusief) 1.20.0. Versies buiten deze reeksen, inclusief releases vóór 0.28.0, worden in de beschikbare gegevens niet als getroffen vermeld.

Fixes en mitigatie

De kwetsbaarheid is verholpen in Axios-versie 0.34.0 voor de 0.x-tak en versie 1.20.0 voor de 1.x-tak. In de beschikbare gegevens worden geen andere mitigatiemaatregelen genoemd dan het updaten naar deze versies.

Aanbevolen actie

Sitebeheerders en ontwikkelaars die Axios gebruiken, moeten hun dependency-versies controleren tegen de getroffen reeksen (0.28.0–0.34.0 en 1.15.1–1.20.0) en indien nodig upgraden naar versie 0.34.0 of 1.20.0. Omdat dit probleem functioneert als gadget voor elders geïntroduceerde prototype pollution, is het ook raadzaam om applicaties en overige afhankelijkheden te controleren op onafhankelijke prototype pollution-kwetsbaarheden die hiermee gecombineerd zouden kunnen worden.