🇰🇷 한글 설명
Axios 1.0.0부터 1.20.0 버전 사이에서 dispatchRequest 함수가 상속된 Object.prototype.headers를 정규화하는 과정에서 프로토타입 오염 취약점이 발생합니다. 별도의 프로토타입 오염 취약점을 통해 Object.prototype.headers를 설정하면, 신뢰할 수 있는 요청 인터셉터 이후에 공격자가 제어하는 헤더가 포함될 수 있습니다. 이로 인해 인증 관련 값과 같은 민감한 정보가 노출될 위험이 있습니다.
💡 쉬운 설명
프로그램의 기본 설정값이 공격자에 의해 변조될 수 있는 보안 약점이 발견되었습니다. 이를 통해 공격자가 사용자의 인증 정보와 같은 중요한 데이터를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise-based HTTP client for the browser and Node.js. From 1.0.0 until 1.20.0, the dispatchRequest function normalizes inherited Object.prototype.headers from a replacement request configuration. A separate same-process prototype-pollution flaw sets Object.prototype.headers, and trusted request interceptors return a new ordinary configuration without an own headers property. After the interceptor chain, dispatchRequest resolves the inherited headers during normalization. Downstream request processing can observe attacker-controlled headers, including authorization-related values. This issue is fixed in version 1.20.0.
📍 영향받는 시스템
Axios version 1.0.0 ~ 1.20.0
⚔️ 공격 벡터
프로토타입 오염(Prototype Pollution)을 통해 Object.prototype.headers를 조작하여 요청 헤더에 악성 값을 주입
🛡️ 대응 방법
Axios 버전을 1.20.0 이상으로 업데이트
🔧 검증 코드
출력된 axios의 버전이 1.20.0 미만인지 확인
npm list axios | grep axios