🚨 CVE-2026-40175 - Axios の重大な脆弱性

プロトタイプ汚染ガジェット → リモートコード実行 & クラウド侵害

📢 概要

Axios は、JavaScript（ブラウザ & Node.js）向けの最も人気のある HTTP クライアントの 1 つですが、バージョン 1.15.0 より前には 重大な 脆弱性が存在します。

特定の 「ガジェット」攻撃チェーン により、攻撃者は あらゆるプロトタイプ汚染（サードパーティの依存関係由来のものも含む）を次のように昇格させることができます：

CVSS スコア: 10.0（緊急）
攻撃元区分: ネットワーク
攻撃条件の複雑さ: 低
必要な特権: 不要
ユーザー操作: 不要

✅ Axios v1.15.0（およびそれ以降のすべてのバージョン）

# Update to the latest secure version
npm install axios@latest

# or using yarn
yarn add axios@latest

# or using pnpm
pnpm update axios

プロのヒント: 更新後は必ずロックファイル（package-lock.json または yarn.lock）を確認し、npm audit を実行してください。

この脆弱性は、Axios の安全でない処理に起因し、比較的一般的なプロトタイプ汚染プリミティブ（任意の依存関係由来）を、ヘッダーインジェクションや無制限のクラウドメタデータ外部流出を含む強力な昇格ベクターに変えてしまいます。

これは特に以下の環境で危険です：

あなたのコードが直接プロトタイプ汚染を引き起こさない場合でも、node_modules 内の別の場所にある脆弱なライブラリが Axios を介して昇格される可能性があります。

# See which version of axios you're using
npm ls axios

# Audit for vulnerabilities
npm audit | grep -i axios

また、推移的依存関係（transitive dependencies）もスキャンしてください。

Axios を直ちに更新して >= 1.15.0 にする
可能な限り依存関係を確認し、固定（ピン留め）する
以下のようなツールの使用を検討する：
- npm audit
- dependabot / renovate
- より深いサプライチェーン分析のために snyk または socket.dev
脆弱なバージョンをしばらく使用していた場合は、不審な活動を監視する

安全を維持しましょう。早めに更新、頻繁に更新。 🔒

オープンソースコミュニティへの ❤️ を込めて