p PatchFirst

CVE-2026-44494

CVE-2026-44494 · Axios: Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Diese Seite zeigt ausgewählte Angaben aus den Quellen. Die vollständige Beschreibung und betroffene Versionen finden Sie in den verlinkten Sicherheitshinweisen.

Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.16.0, the Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escalated into a full Man-in-the-Middle (MITM) attack — intercepting, reading, and modifying all HTTP traffic including authentication credentials. The HTTP adapter at lib/adapters/http.js:670 reads config.proxy via standard property access, which traverses the prototype chain. Because proxy is not present in Axios defaults, the merged config object has no own proxy property, making it trivially injectable via prototype pollution. Once injected, setProxy() routes all HTTP requests through the attacker's proxy server. This vulnerability is fixed in 1.16.0.

CVSS 8.7 · Hoch · EPSS 1,0% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • axios

    Softwareversionen
    • >= 1.0.0, < 1.16.0: Betroffen

    Keine Korrektur veröffentlicht

  • node-axios Debian:12

    Softwareversionen
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    • 1.2.1+dfsg-1
    • 1.2.1+dfsg-1+deb12u1
    • 1.20.0-1
    • 1.5.1+dfsg-1
    • 1.6.2+dfsg-1
    • 1.6.8+dfsg-1
    • 1.6.8+dfsg-2
    • 1.7.3+dfsg-1
    • 1.7.4+dfsg-1
    • 1.7.7+dfsg-1
    • 1.7.9+dfsg-1
    • 1.8.4+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Debian:13

    Softwareversionen
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    • 1.20.0-1
    • 1.8.4+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Debian:14

    Softwareversionen
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.1+dfsg-1
    • 1.13.2+dfsg-1
    • 1.14.0+dfsg-1
    • 1.15.0-1
    • 1.15.2-1
    • 1.8.4+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.16.0-1

    Auf 1.16.0-1 aktualisieren

  • axios npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 1.0.0, < 1.16.0

    Auf 1.16.0 aktualisieren

  • node-axios Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 0.19.0+dfsg-2
    • 0.19.0+dfsg-2ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 0.21.1+dfsg-1
    • 0.23.0+dfsg-2
    • 0.24.0+dfsg-1
    • 0.25.0+dfsg-2
    • 0.26.0+dfsg-1
    • 0.26.0+dfsg-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 1.2.1+dfsg-1
    • 1.5.1+dfsg-1
    • 1.6.2+dfsg-1
    • 1.6.8+dfsg-2
    • 1.6.8+dfsg-2ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Ubuntu:25.10

    Softwareversionen
    • 1.7.9+dfsg-1
    • 1.8.4+dfsg-1
    • 1.11.0+dfsg-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Ubuntu:26.10

    Softwareversionen
    • 1.13.2+dfsg-1build1
    • 1.16.0-1
    • 1.18.0-1
    • 1.19.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-axios Ubuntu:Pro:26.04:LTS

    Softwareversionen
    • 1.11.0+dfsg-1
    • 1.12.1+dfsg-1
    • 1.13.2+dfsg-1build1
    • 1.13.2+dfsg-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →