🇰🇷 한글 설명
Axios 1.15.2 이상 1.16.0 미만 버전에서 utils.merge()를 통해 생성된 중첩 객체가 Object.prototype을 상속받으며 발생하는 취약점입니다. 공격자가 Object.prototype.username을 오염시킬 경우, setProxy() 함수가 hasOwnProperty 체크 없이 이를 읽어서 모든 프록시 HTTP 요청에 악의적인 인증 정보를 삽입합니다.
💡 쉬운 설명
Axios 라이브러리의 버그로 인해 공격자가 프록시 요청에 자신의 자격 증명을 강제로 끼워넣을 수 있습니다. 이는 Object.prototype 오염을 통해 발생하며, 모든 프록시 통신이 해킹될 위험이 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. From 1.15.2 to before 1.16.0, nested objects created by utils.merge() (e.g., config.proxy) are still constructed as plain {} with Object.prototype in their chain. The setProxy() function at lib/adapters/http.js:209-223 reads proxy.username, proxy.password, and proxy.auth without hasOwnProperty checks. When Object.prototype.username is polluted, setProxy() constructs a Proxy-Authorization header with attacker-controlled credentials and injects it into every proxied HTTP request. This vulnerability is fixed in 1.16.0.
📍 영향받는 시스템
Axios 1.15.2 이상 1.15.x 버전
⚔️ 공격 벡터
Object.prototype.username 오염을 통해 setProxy()가 악성 자격 증명을 읽어 HTTP 요청 헤더에 주입
🛡️ 대응 방법
Axios를 1.16.0 이상 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.16.0 미만인 경우 취약한 버전이 설치되어 있음을 의미합니다.
npm list axios 2>/dev/null | grep -E 'axios@'