Axios : méthode HTTP héritée d’un prototype pollué dans l’instance par défaut

Veille sécuritéBackend & données

P4Moyenne

Dans Axios pour Node.js, les requêtes de l’instance par défaut qui omettent la méthode peuvent hériter de `Object.prototype.method` si un autre défaut a déjà pollué ce prototype. Cela peut transformer une requête prévue comme GET en requête modifiant l’état ; mettez à jour vers 1.20.0 et, en attendant, indiquez explicitement la méthode ou utilisez les alias comme `axios.get()`.

IdentifiantCVE-2026-101902

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.20.0

Source : GHSA-9fr6-4gfg-395g — Axios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method

Analyse technique

Il s’agit d’un gadget de lecture, pas d’une primitive de pollution de prototype créée par Axios. Le chemin confirmé concerne les appels à l’instance par défaut sans propriété `method` propre ; les alias de méthode ne sont pas concernés dans le scénario décrit.

Impact, versions et correctif

Événement datéAvis publié le 2026-09-30 à 15:12:49Z, dans la période demandée ; retenu comme nouvel avis de sécurité.

ImpactEn présence d’une pollution de `Object.prototype` par ailleurs exploitable, des requêtes Axios par défaut sans méthode explicite peuvent employer une méthode HTTP inattendue et provoquer des modifications d’état.

Versions affectées>= 0.27.2, < 0.34.0 ; >= 1.0.0, < 1.20.0

Version corrigée1.20.0

ContournementIndiquer une méthode propre à la requête ou utiliser les alias `axios.get()` et autres alias de méthode ; éviter les appels à l’instance par défaut sans méthode lorsqu’une pollution de prototype est possible.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-09-30T15:12:49Z

Mise à jour2026-09-30T15:12:50Z

Action recommandée

Mettre à jour Axios vers 1.20.0 ou une version ultérieure. Utiliser une méthode explicite ou un alias de méthode comme mesure temporaire.

Sources

GHSA-9fr6-4gfg-395g — Axios: Prototype-Pollution Gadget in the Default Instance Allows Inherited Object.prototype.method to Override HTTP Method

Priorisation DFS : P4 · 1 source(s).