CVE-2026-42264

Beschreibung

Axios ist ein vielversprechender HTTP-Client für den Browser und Node.js. Von Version 1.0.0 bis vor Version 1.15.2 werden fFive config-Eigenschaften (auth, baseURL, socketPath, beforeRedirect und insecureHTTPParser) im HTTP-Adapter über direkten Eigenschaftszugriff ohne hasOwnProperty-Schutz gelesen, wodurch sie als Prototyp-Verschmutzungsgeräte nutzbar sind. Wenn Object.prototype durch eine andere Abhängigkeit im selben Prozess verschmutzt wird, nimmt axios diese verschmutzten Werte bei jeder ausgehenden HTTP-Anfrage stillschweigend auf. Dieses Problem wurde in Version 1.15.2 gepatcht.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 1.15.2.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apple axios.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.