| タイトル | axios projectのaxiosにおける複数の脆弱性 |
|---|---|
| 概要 | AxiosはブラウザおよびNode.js向けのPromiseベースのHTTPクライアントです。バージョン1.15.1および0.31.1より前のAxiosライブラリでは、XSRFトークン保護のロジックがwithXSRFToken設定プロパティに対して厳密な真偽値比較を使用せず、JavaScriptのtruthy/falsyセマンティクスを使っていました。このプロパティが真の非ブール値に設定された場合（プロトタイプ汚染や誤設定によって）、同一オリジンチェック（isURLSameOrigin）がショートサーキットされ、攻撃者が制御するクロスオリジンサーバーを含むすべてのリクエスト先にXSRFトークンが送信されてしまいます。この脆弱性はバージョン1.15.1および0.31.1で修正されました。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年4月24日0:00 |
| 登録日 | 2026年4月30日12:25 |
| 最終更新日 | 2026年4月30日12:25 |
| CVSS3.0 : 警告 | |
| スコア | 5.4 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N |
| axios project |
| axios 0.31.1 未満 |
| axios 1.0.0 以上 1.15.1 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月30日] 掲載 |
2026年4月30日12:25 |
| 概要 | Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios library's XSRF token protection logic uses JavaScript truthy/falsy semantics instead of strict boolean comparison for the withXSRFToken config property. When this property is set to any truthy non-boolean value (via prototype pollution or misconfiguration), the same-origin check (isURLSameOrigin) is short-circuited, causing XSRF tokens to be sent to all request targets including cross-origin servers controlled by an attacker. This vulnerability is fixed in 1.15.1 and 0.31.1. |
|---|---|
| 公表日 | 2026年4月25日3:16 |
| 登録日 | 2026年4月25日4:08 |
| 最終更新日 | 2026年4月28日3:57 |