p PatchFirst

CVE-2026-42044

CVE-2026-42044 · Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.

Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.15.2, he Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escalated into surgical, invisible modification of all JSON API responses — including privilege escalation, balance manipulation, and authorization bypass. The default transformResponse function at lib/defaults/index.js:124 calls JSON.parse(data, this.parseReviver), where this is the merged config object. Because parseReviver is not present in Axios defaults, not validated by assertOptions, and not subject to any constraints, a polluted Object.prototype.parseReviver function is called for every key-value pair in every JSON response, allowing the attacker to selectively modify individual values while leaving the rest of the response intact. This vulnerability is fixed in 1.15.2.

CVSS 6.5 · Средний · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • axios

    Версии
    • >= 1.0.0, < 1.15.2: Затронуто

    Нет опубликованного исправления

  • node-axios Debian:12

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    • 1.2.1+dfsg-1
    • 1.2.1+dfsg-1+deb12u1
    • 1.20.0-1
    • 1.5.1+dfsg-1
    • 1.6.2+dfsg-1
    • 1.6.8+dfsg-1
    • 1.6.8+dfsg-2
    • 1.7.3+dfsg-1
    • 1.7.4+dfsg-1
    • 1.7.7+dfsg-1
    • 1.7.9+dfsg-1
    • 1.8.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Debian:13

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    • 1.20.0-1
    • 1.8.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Debian:14

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.8.4+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.15.2-1

    Обновитесь до 1.15.2-1

  • axios npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 1.0.0, < 1.15.2

    Обновитесь до 1.15.2

  • node-axios Ubuntu:25.10

    Версии
    • 1.7.9+dfsg-1
    • 1.8.4+dfsg-1
    • 1.11.0+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-axios Ubuntu:Pro:26.04:LTS

    Версии
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.2+dfsg-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.13.2+dfsg-1ubuntu0.1~esm1

    Обновитесь до 1.13.2+dfsg-1ubuntu0.1~esm1

Первоисточники

Проверьте свой сервер →