🇰🇷 한글 설명
Axios는 프로토타입 오염 취약점으로 인해 JSON 응답을 조작하거나 HTTP 전송을 완전히 하이재킹당할 수 있습니다. 다른 의존성에서의 프로토타입 오염이 선행되어야 하며, 공격자는 요청 자격증명, 헤더, 본문에 접근할 수 있습니다.
💡 쉬운 설명
Axios 라이브러리의 보안 결함으로 인해 공격자가 웹 요청을 가로채고 조작할 수 있습니다. 1.15.1 이전 버전을 사용하면 위험합니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, when Object.prototype has been polluted by any co-dependency with keys that axios reads without a hasOwnProperty guard, an attacker can (a) silently intercept and modify every JSON response before the application sees it, or (b) fully hijack the underlying HTTP transport, gaining access to request credentials, headers, and body. The precondition is prototype pollution from a separate source in the same process. This vulnerability is fixed in 1.15.1 and 0.31.1.
📍 영향받는 시스템
Axios < 1.15.1 and < 0.31.1
⚔️ 공격 벡터
Object.prototype 오염을 통한 axios 응답 가로채기 및 HTTP 전송 제어
🛡️ 대응 방법
Axios를 1.15.1 이상 또는 0.31.1 이상으로 업그레이드
🔧 검증 코드
현재 설치된 axios 버전을 확인하여 1.15.1 이상(또는 0.31.1 이상) 여부 확인
npm list axios 2>/dev/null | grep axios || grep '"axios"' package.json | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'