axios antes 0.33.0 (e 1.x antes 1.18.0 ) pode consumir propriedades herdadas de objetos de opção de solicitação aninhada quando o prototipo Object.prototype do processo JavaScript já foi poluído por outro componente. Enquanto a configuração combinada de nível superior usa um protótipo nulo, objetos simples aninhados, como auth e paramsSerializer, são clonados em objetos comuns e lidos sem cheques de propriedade própria. Quando um aplicativo passa por um marcador de lugar objetos anidados, como auth: {} ou paramsSerializer: {}, os valores herdados de nome de usuário/password podem causar a injeção silenciosa de uma Autorização: Cabeçalho básico, e os valores herdados de codificação/serializar podem alterar a serialização de cadeias de consulta (a substituição completa do serializador requer um primitivo de poluição com valor de função). Isto é explorável apenas na presença de poluição pré- existente do protótipo. O registro do banco de dados nacional de vulnerabilidade CVE- 2026 - 67319 foi publicado em 2026 - 08 - 01 T 13: 17: 02.080 Z e última modificação em 2026 - 08 - 03 T 19: 16: 51.370 Z. O seu estado gravado é Recebido.
métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 6.3, gravidade MEDIUM, vetor CVSS: 4.0 /AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X; CVSS. Classificações de fraqueza associadas: CWE- 1321.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.