JVNDB-2026-031487

axios projectのaxiosにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

axiosの0.33.0未満のバージョン（および1.xの1.18.0未満のバージョン）は、JavaScriptプロセスのObject.prototypeが既に他のコンポーネントによって汚染されている場合、ネストされたリクエストオプションオブジェクトから継承されたプロパティを誤って処理することがあります。トップレベルのマージされた設定はnullプロトタイプを使用していますが、authやparamsSerializerのようなネストされたプレーンオブジェクトは通常のオブジェクトにクローンされ、own-propertyのチェックなしで読み取られます。アプリケーションがauth: {}やparamsSerializer: {}のようなプレースホルダのネストオブジェクトを渡すと、継承されたusernameやpasswordの値によりAuthorization: Basicヘッダがサイレントに注入され、継承されたencodeやserializeの値によりクエリ文字列のシリアライズ方法が変更される可能性があります（完全なシリアライザの置換には関数型の汚染プリミティブが必要です）。この脆弱性は、事前に存在するプロトタイプ汚染がある場合にのみ悪用可能です。

axios project

• axios 0.33.0 未満
• axios 1.0.0 以上 1.18.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Nested axios option objects can consume polluted prototype values  Advisory  axios/axios  GitHub

VulnCheck

• VulnCheck : axios before 0.33.0 Prototype Pollution via nested option objects  | Advisories | VulnCheck

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-67319

1. National Vulnerability Database (NVD) : CVE-2026-67319

• [2026年09月02日]
    掲載