JVNDB-2026-031492

axios projectのaxiosにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

axiosのバージョン1.15.2以上1.18.0未満には、Basic認証のサブフィールド処理においてプロトタイプ汚染のリードサイドガジェット（lib/adapters/http.jsおよびlib/helpers/resolveConfig.js）が含まれています。アプリケーションがすでに別のプロトタイプ汚染のプリミティブによって影響を受けており、かつusernameおよび/またはpasswordプロパティを省略した独自のauthオブジェクトでaxiosリクエストを行う場合、axiosは継承されたObject.prototype.usernameおよびObject.prototype.passwordの値を読み取り、それらを使って外向きの「Authorization: Basic ...」ヘッダーを構築します。axios自体はプロトタイプを汚染しません。実質的な影響は外向きリクエストの改ざんであり、汚染されたプロトタイプの値を操作できる攻撃者は、攻撃者が選んだBasic認証資格情報を注入したり、既存のAuthorizationヘッダーを置換したりすることが可能です。資格情報の漏洩は追加のアプリケーション固有の条件が満たされた場合にのみ発生します。

axios project

• axios 1.15.2 以上 1.18.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Prototype pollution auth subfields can inject Basic auth  Advisory  axios/axios  GitHub

VulnCheck

• VulnCheck : axios before 1.18.0 Prototype Pollution via auth subfields  | Advisories | VulnCheck

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-67314

1. National Vulnerability Database (NVD) : CVE-2026-67314

• [2026年09月02日]
    掲載