Lors de la résolution des en-têtes FormData, Axios peut traiter certaines propriétés héritées comme si elles provenaient d’un objet FormData et fusionner des en-têtes contrôlés par un attaquant dans une requête via l’adaptateur fetch. Le scénario décrit suppose une pollution de prototype dans le même processus et un tableau ou une instance de classe non ordinaire ; Axios 1.20.0 corrige le problème.
Source : NVD — CVE-2026-101900
Analyse technique
Les propriétés héritées Symbol.toStringTag, append et getHeaders influencent la détection de FormData ; getHeaders peut fournir des en-têtes contrôlés qui sont fusionnés dans la requête.
Impact, versions et correctif
Détection / vérification
Vérifier la version d’Axios et l’usage de FormData dans le fetch adapter, notamment avec des objets non simples susceptibles d’hériter de propriétés.
Action recommandée
Mettre à jour Axios vers la version 1.20.0.
Sources
Priorisation DFS : P4 · 1 source(s).