Un intercepteur Axios qui remplace la configuration par un objet ordinaire sans propriété propre `headers` peut laisser la lecture de `config.headers` récupérer une valeur héritée polluée. Le problème requiert une pollution préalable de prototype et un intercepteur qui omet les en-têtes ; mettre à jour Axios ou faire en sorte que ces intercepteurs préservent ou définissent explicitement `headers`.
Source : GHSA-j8rh-479h-cp32 — Axios: Header Injection via Inherited headers After Minimal Interceptor
Analyse technique
Après remplacement de la configuration par un objet ordinaire, `dispatchRequest()` normalise `config.headers`, ce qui peut lire `Object.prototype.headers` si aucune propriété propre n’existe.
Impact, versions et correctif
Action recommandée
Mettre à jour Axios vers 1.20.0 ou une version ultérieure et corriger les intercepteurs afin qu’ils définissent ou préservent leurs en-têtes.
Sources
Priorisation DFS : P4 · 1 source(s).