🚨 CVE-2026-40175 - Kritische Schwachstelle in Axios

Prototype-Pollution-Gadget → Remote-Code-Ausführung & Cloud-Kompromittierung

📢 Überblick

Axios — einer der beliebtesten HTTP-Clients für JavaScript (Browser & Node.js) — enthält eine kritische Schwachstelle vor Version 1.15.0.

Eine bestimmte „Gadget“-Angriffskette ermöglicht es Angreifern, beliebige Prototype Pollution (selbst aus einer Drittanbieter-Abhängigkeit) in Folgendes zu eskalieren:

• Remote-Code-Ausführung (RCE)
• Vollständige Cloud-Kompromittierung (einschließlich Umgehung von AWS IMDSv2, um Anmeldeinformationen zu stehlen)

CVSS-Score: 10.0 (Kritisch)
Angriffsvektor: Netzwerk
Komplexität: Niedrig
Benötigte Privilegien: Keine
Benutzerinteraktion: Keine

🛡️ Behoben in

✅ Axios v1.15.0 (und alle neueren Versionen)

Sofortiges Handeln erforderlich

# Update to the latest secure version
npm install axios@latest

# or using yarn
yarn add axios@latest

# or using pnpm
pnpm update axios

Profi-Tipp: Überprüfen Sie nach dem Update immer Ihre Lockfile (package-lock.json oder yarn.lock) und führen Sie npm audit aus.

📋 Details

• CVE ID: CVE-2026-40175
• GitHub-Advisory: GHSA-fvcv-3m26-pcqx
• Offizieller Fix-PR: #10660
• Release: v1.15.0

Die Schwachstelle resultiert aus unsicherer Handhabung in Axios, die ein relativ häufiges Prototype-Pollution-Primitiv (aus einer beliebigen Abhängigkeit) in einen mächtigen Eskalationsvektor verwandelt – einschließlich Header-Injection und uneingeschränkter Exfiltration von Cloud-Metadaten.

🔍 Auswirkungen

Dies ist besonders gefährlich in:

• Serverbasierte Node.js-Anwendungen
• Microservices, die in der Cloud laufen (AWS, GCP, Azure)
• Beliebige Projekte mit tiefen Abhängigkeitsbäumen

Selbst wenn Ihr Code keine Prototype Pollution direkt verursacht, könnte eine anfällige Bibliothek an anderer Stelle in Ihrem node_modules über Axios eskaliert werden.

🛠 So prüfen Sie, ob Sie betroffen sind

# See which version of axios you're using
npm ls axios

# Audit for vulnerabilities
npm audit | grep -i axios

Scannen Sie außerdem Ihre transitiven Abhängigkeiten.

📌 Empfehlungen

1. Aktualisieren Sie Axios sofort auf >= 1.15.0
2. Überprüfen und pinnen Sie Abhängigkeiten, wo möglich
3. Erwägen Sie den Einsatz von Tools wie:
   • npm audit
   • dependabot / renovate
   • snyk oder socket.dev für eine tiefere Supply-Chain-Analyse
4. Überwachen Sie auf verdächtige Aktivitäten, wenn Sie längere Zeit eine anfällige Version verwendet haben

📚 Referenzen

• NVD-Eintrag
• Axios-Sicherheitsadvisory
• Axios-Release v1.15.0