Veille sécuritéFrontend
P3Élevée
Axios lit plusieurs options de sérialisation de formulaire depuis un objet sans vérifier qu’elles lui appartiennent, ce qui permet à une pollution préalable de `Object.prototype` d’altérer la sérialisation ou de faire échouer des requêtes. Le défaut n’est pas la source de la pollution; les versions affectées indiquées sont corrigées en 0.34.0 et 1.20.0, selon la branche.
JavaScript
IdentifiantCVE-2026-101909
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.34.0, 1.20.0
Source : GitHub Advisory — GHSA-x97p-jq2g-jp4f
Analyse technique
Les chemins concernés comprennent `toFormData()` et certaines sérialisations multipart ou URL-encoded; les corps JSON et les requêtes n’utilisant pas ces chemins ne sont pas concernés selon l’avis.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-09-30T15:02:45Z, dans la période demandée.
ImpactAltération de la sérialisation des requêtes ou déni de service de certaines opérations; l’impact dépend de la propriété polluée et du chemin employé.
Versions affectées>= 0.28.0 et < 0.34.0; >= 1.15.1 et < 1.20.0
Version corrigée0.34.0, 1.20.0
ContournementDans les environnements concernés, éviter la sérialisation de données contrôlées par un attaquant si `Object.prototype` est pollué; des valeurs propres explicites pour les options sont une mitigation partielle.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T15:02:45Z
Mise à jour2026-09-30T15:02:48Z
Action recommandée
Mettre à niveau vers la version corrigée de la branche utilisée et vérifier les scénarios de sérialisation de formulaires exposés à des objets issus de données non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).