JVNDB-2026-031490

axios projectのaxiosにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

axiosは、Object.prototypeが別の脆弱性や依存関係によって既に汚染されている場合に、リクエストの構築を変更できるリードサイドのプロトタイプ汚染ガジェットに対して脆弱です。ボディ無しのメソッドエイリアス（axios.get(), axios.delete(), axios.head(), axios.options()）では、configの正規化前に継承されたデータが(config || {}).data経由で読み取られるため、ボディを設定していないリクエストに対して攻撃者が制御するボディが送信される可能性があります。追加の低レベルパスは、エクスポートされたアダプターやヘルパー（例: lib/adapters/http.js、unsafe/helpers/resolveConfig.js）をプレーンな設定で直接呼び出し、独自のプロキシやparamsSerializerがない場合にのみ到達可能で、その結果、汚染されたプロキシ値（攻撃者が制御するプロキシ経由のルーティング）やparamsSerializer値（攻撃者制御のURLシリアライゼーション）を継承する可能性があります。これらの低レベルガジェットは、1.15.2以降の通常の高レベルなaxios呼び出しでは再現しません。この問題はaxios 1.18.0および0.33.0で修正されています。

axios project

• axios 0.33.0 未満
• axios 1.0.0 以上 1.18.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Prototype pollution gadgets can alter axios request construction  Advisory  axios/axios  GitHub

VulnCheck

• VulnCheck : axios before 1.18.0 Prototype Pollution via bodyless methods  | Advisories | VulnCheck

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-67316

1. National Vulnerability Database (NVD) : CVE-2026-67316

• [2026年09月02日]
    掲載