Veille sécuritéBackend & données
P3Élevée
Dans l’adaptateur HTTP Node.js d’Axios, une pollution préalable de `Object.prototype.createConnection` peut détourner la création du socket d’une requête vers une destination contrôlée. Le problème suppose une primitive distincte de pollution de prototype dans le même processus ; mettre à jour Axios et, en attendant, éviter cette pollution ou utiliser un transport de confiance qui sécurise la création des connexions.
Node.js
IdentifiantCVE-2026-101905
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifaxios 1.20.0
Source : GHSA-m8m8-qj5v-23w3 — Axios: Node HTTP adapter prototype-pollution gadget allows request socket hijack via inherited createConnection
Analyse technique
Les options transmises à Node.js ne définissent pas leur propre valeur sûre pour `createConnection`. En présence d’une propriété héritée polluée, la connexion peut être détournée et recevoir les données de la requête.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-09-30T17:32:51+02:00 ; retenu comme nouvel avis de sécurité dans la période.
ImpactAprès une pollution préalable de prototype, des requêtes peuvent être dirigées vers un serveur contrôlé par un attaquant, exposant notamment leurs en-têtes et corps.
Versions affectéesAxios >= 1.15.2, < 1.20.0
Version corrigéeaxios 1.20.0
ContournementÉviter toute pollution de prototype dans le processus ; pour les clients internes à risque, utiliser un transport ou une couche d’agent de confiance qui impose sa propre création de connexion.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T17:32:51+02:00
Mise à jour2026-09-30T17:32:57+02:00
Action recommandée
Mettre à jour Axios vers 1.20.0 ou une version ultérieure et prévenir les pollutions de prototype dans le processus.
Sources
Priorisation DFS : P3 · 1 source(s).