CVE-2026-44495

Beschreibung

Axios ist ein vielversprechender HTTP-Client für den Browser und Node.js. Von 0.19.0 bis vor 0.31.1 und 1.15.2 enthält Axios Prototyp-Verschmutzungsgeräte in der Anfragekonfigurationsverarbeitung. Wenn eine andere Sicherheitslücke im selben JavaScript-Prozess Object.prototype.transformResponse bereits verschmutzt hat, können betroffene Axios-Versionen diesen geerbten Wert als Anforderungskonfiguration oder als Optionsvalidator behandeln. Axios selbst erzeugt nicht die prototypische Verschmutzung. Die Erschöpfbarkeit erfordert eine separate Prototyp-Verschmutzungslücke oder eine gleichwertige Angreiferkontrolle über Object.prototype, bevor Axios eine Anforderung erstellt. Diese Sicherheitsanfälligkeit wird in 0.31.1 und 1.15.2 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Mehrere Hersteller axios, advanced cluster management for kubernetes, advanced cluster security, ansible automation platform, data grid, developer hub, discovery, openshift container platform, openshift dev spaces, openshift service mesh, openshift virtualization, quay.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.