🇰🇷 한글 설명
Axios 1.12.0부터 1.20.0 버전 사이에서 FormData 헤더를 처리할 때 상속된 속성을 읽어들이는 취약점이 발견되었습니다. 프로토타입 오염을 통해 공격자가 제어하는 헤더를 요청에 삽입할 수 있으며, 이는 인증 정보나 캐시 설정을 변경하는 등의 위험을 초래할 수 있습니다.
💡 쉬운 설명
Axios라는 통신 도구에서 데이터 형식을 처리할 때, 공격자가 몰래 숨겨둔 설정값을 읽어버리는 문제가 있습니다. 이를 통해 공격자는 사용자의 로그인 정보나 중요한 요청 설정을 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise-based HTTP client for the browser and Node.js. From 1.12.0 until 1.20.0, ResolveConfig reads inherited Symbol.toStringTag, append, and getHeaders properties while resolving FormData headers. A separate same-process prototype-pollution flaw supplies an array or non-plain class instance whose inherited properties make it appear FormData-like; plain objects are blocked. The inherited getHeaders function can return attacker-controlled headers that resolveConfig merges into a fetch adapter request. Attacker-controlled headers can alter authorization, cache, metadata-service, or application-specific request behavior. This issue is fixed in version 1.20.0.
📍 영향받는 시스템
Axios version 1.12.0 to 1.20.0
⚔️ 공격 벡터
프로토타입 오염(Prototype Pollution)을 이용해 조작된 객체를 전달하여 HTTP 요청 헤더를 변조함
🛡️ 대응 방법
Axios를 최신 버전인 1.20.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Axios의 버전이 1.12.0 이상 1.20.0 미만인지 확인합니다.
npm list axios | grep axios