CVE-2026-40175
Axios presenta esfiltrazione illimitata dei metadati cloud tramite catena di iniezione negli header
- Pubblicato
- 10 apr 2026
- Aggiornato
- 9 set 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 25 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 80,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Axios è un client HTTP basato su promise per browser e Node.js. Le versioni precedenti alla 1.15.0 e alla 0.3.1 sono vulnerabili a una specifica catena di attacco di tipo gadget in cui l'inquinamento del prototipo in una dipendenza di terze parti può essere sfruttato per iniettare valori di intestazione non sanificati nelle richieste in uscita. Questa vulnerabilità è corretta nelle versioni 1.15.0 e 0.3.1.
Fonti
- CVE-2026-40175Ricerca
CVE-2026-40175
Proof-of-concept che dimostra l'iniezione CRLF e lo smuggling di richieste HTTP in Axios, concatenando la pollution del prototipo per ottenere SSRF e accedere a servizi interni come IMDS.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.