JVNDB-2025-024007

 Axios Cache Interceptorにおける複数の脆弱性

Axios Cache Interceptorは、axios用のキャッシュインターセプターです。バージョン1.11.1以前では、サーバーが異なる認証トークンでアップストリームサービスを呼び出す場合、axios-cache-interceptorが誤ったキャッシュレスポンスを返してしまい、認可のバイパスが発生します。キャッシュキーはURLのみから生成され、`Authorization`などのリクエストヘッダーが無視されます。サーバーが`Vary: Authorization`（レスポンスが認証トークンごとに変化することを示す）で応答しても、このライブラリはその指示を無視し、すべてのリクエストが認証に関係なく同じキャッシュを共有してしまいます。axios-cache-interceptorを利用して複数ユーザー（異なる認証トークン）からのリクエストを処理し、アップストリームサービスが`Vary`ヘッダーでキャッシュを識別するサーバーサイドアプリケーション（APIやプロキシ、バックエンドサービスなど）がこの問題の影響を受けます。一方、ブラウザーやクライアントサイドアプリケーション（1ブラウザーセッションにつき1ユーザー）にはこの問題の影響がありません。異なる認証トークンでアップストリームサービスを呼び出すサービスでは、不正なキャッシュデータが返されることで認可チェックが回避され、ユーザーデータが異なる認証セッション間で漏洩する可能性があります。v1.11.1以降では、自動的に`Vary`ヘッダーサポートがデフォルトで有効となりました。サーバーが`Vary: Authorization`で応答すると、キャッシュキーに認証ヘッダー値が含まれるようになり、各ユーザーごとに独自のキャッシュが割り当てられるようになりました。

Axios Cache Interceptor

• Axios Cache Interceptor 1.11.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Cache Poisoning via Ignored HTTP Vary Header  Advisory  arthurfiorette/axios-cache-interceptor  GitHub

1. 重要な情報を含むキャッシュの使用(CWE-524) [その他]
2. 呼び出し元による仕様の不適切な準拠(CWE-573) [その他]
3. ユーザ制御の鍵による認証回避(CWE-639) [その他]
4. ユーザ制御の鍵による認証回避(CWE-639) [NVD評価]

1. CVE-2025-69202

1. National Vulnerability Database (NVD) : CVE-2025-69202
2. 関連文書 : Foolproof request headers casing (#1157)  arthurfiorette/axios-cache-interceptor@49a8080  GitHub

• [2026年01月07日]
    掲載