Axios : injection d’en-têtes via getHeaders hérité dans l’adaptateur Fetch

Veille sécuritéBackend & données

P4Moyenne

Le chemin de configuration partagé d’Axios peut accepter des en-têtes issus d’un `getHeaders` hérité et pollué lors de l’utilisation de l’adaptateur Fetch. L’exploitation nécessite une pollution préalable de prototype et un corps de requête compatible ; mettre à jour Axios ou, en attendant, éviter cet adaptateur pour ces requêtes dans un processus potentiellement pollué.

IdentifiantCVE-2026-101900

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctifaxios 1.20.0

Source : GHSA-4hqw-qxg8-jxx2 — Axios: Fetch Adapter Header Injection via Inherited FormData getHeaders

Analyse technique

La fonction `resolveConfig()` peut traiter `getHeaders` hérité comme une source d’en-têtes FormData ; le chemin de l’adaptateur HTTP comporte une vérification correspondante que ce chemin partagé n’effectue pas.

Impact, versions et correctif

Événement datéAvis GitHub publié le 2026-09-30T17:34:46+02:00 ; retenu comme nouvel avis de sécurité dans la période.

ImpactDes en-têtes contrôlés par un attaquant peuvent être ajoutés aux requêtes sortantes lorsque les préconditions de pollution de prototype sont réunies.

Versions affectéesAxios >= 1.12.0, < 1.20.0

Version corrigéeaxios 1.20.0

ContournementUtiliser l’adaptateur HTTP pour les requêtes serveur exposées à une pollution de prototype ; éviter les corps tableau ou objets d’instance personnalisée avec l’adaptateur Fetch dans ce contexte.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-09-30T17:34:46+02:00

Mise à jour2026-09-30T17:34:47+02:00

Action recommandée

Mettre à jour Axios vers 1.20.0 ou une version ultérieure ; éviter l’adaptateur Fetch pour les cas concernés tant que la mise à jour n’est pas appliquée.

Sources

GHSA-4hqw-qxg8-jxx2 — Axios: Fetch Adapter Header Injection via Inherited FormData getHeaders

Priorisation DFS : P4 · 1 source(s).