🇰🇷 한글 설명
Axios는 요청 구성 처리 과정에서 프로토타입 오염을 유발할 수 있는 기능이 포함되어 있습니다. 다른 취약점으로 인해 Object.prototype이 오염된 경우, Axios가 이를 요청 설정으로 오인하여 악의적인 동작을 수행할 수 있습니다. 이 문제는 버전 0.31.1 및 1.15.2에서 수정되었습니다.
💡 쉬운 설명
Axios 라이브러리가 외부에서 조작된 설정을 잘못된 방식으로 처리할 수 있는 취약점이 있습니다. 공격자가 먼저 시스템의 기본 객체를 오염시켜야만 이 취약점을 악용할 수 있습니다.
🇺🇸 원문 (English)
Axios is a promise based HTTP client for the browser and Node.js. From 0.19.0 to before 0.31.1 and 1.15.2, Axios contains prototype-pollution gadgets in request config processing. If another vulnerability in the same JavaScript process has already polluted Object.prototype.transformResponse, affected Axios versions may treat that inherited value as request configuration or as an option validator. Axios does not itself create the prototype pollution. Exploitability requires a separate prototype-pollution vulnerability or equivalent attacker control over Object.prototype before Axios creates a request. This vulnerability is fixed in 0.31.1 and 1.15.2.
📍 영향받는 시스템
Axios 0.19.0 이상 ~ 0.31.0 미만, 1.0.0 이상 ~ 1.15.1 미만
⚔️ 공격 벡터
동일 JavaScript 프로세스 내에서 사전에 발생한 프로토타입 오염을 통해 Axios 요청 설정을 변조
🛡️ 대응 방법
Axios를 최신 안정 버전(0.31.1 또는 1.15.2 이상)으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 0.31.1 미만 또는 1.15.2 미만인 경우 영향을 받습니다.
npm list axios 2>/dev/null | grep axios