JVNDB-2026-031486

axios projectのaxiosにおける情報漏えいに関する脆弱性

Node.js環境でHTTPアダプターを使用するaxiosは、リクエストを攻撃者が制御するプロキシ経由にルーティングしてしまう可能性があります。axiosはマージされたリクエスト設定をnullプロトタイプオブジェクトとして堅牢化しますが、リクエストインターセプターはマージ後に実行されます。{...config}やObject.assign({}, config)のような一般的な不変インターセプターパターンは、堅牢化された設定を通常のオブジェクトに戻してしまいます。axiosはそのオブジェクトを再度堅牢化せずに送信し、NodeのHTTPアダプターはプロトタイプチェーンを通じてconfig.proxyを読み取ってしまいます。もし攻撃者がObject.prototype.proxyを汚染可能な場合、影響を受けるリクエストは攻撃者が制御するプロキシを経由してしまう可能性があります。平文のHTTPリクエストでは、プロキシはAuthorizationヘッダー、config.authからのBasic認証、メソッド、絶対URL、Host、およびリクエストボディを観察可能であり、独自のレスポンスを返すこともできます。これは通常のTLS検証下でのブラウザへの影響やHTTPSヘッダー・ボディの漏洩を示すものではありません。影響を受けるバージョンは0.31.1以上（0.33.0で修正）および1.15.2以上（1.18.0で修正）です。

axios project

• axios 0.31.1 以上 0.33.0 未満
• axios 1.15.2 以上 1.18.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Axios Node HTTP adapter can use an inherited proxy after interceptor config cloning  Advisory  axios/axios  GitHub

VulnCheck

• VulnCheck : axios before 0.33.0 Prototype Pollution via Node HTTP adapter  | Advisories | VulnCheck

1. 情報漏えい(CWE-200) [その他]

1. CVE-2026-67320

1. National Vulnerability Database (NVD) : CVE-2026-67320
2. 関連文書 : chore(release): prepare release 1.16.0 (#10834)  axios/axios@df53d7d  GitHub

• [2026年09月02日]
    掲載