Axios é um cliente HTTP baseado em promessas para o navegador e Node.js. Antes de 1.15.1 e 0.31.1, a lógica de proteção de tokens XSRF da biblioteca Axios usa semânticas trudy/falsy JavaScript em vez de uma comparação booleana rigorosa para a propriedade config com XSRFToken. Quando esta propriedade for definida para qualquer valor não booleano verdadeiro (via poluição protótipo ou configuração errada), a verificação do mesmo origem (isURLSameOrigin) é de curto- circuito, fazendo com que os tokens XSRF sejam enviados para todos os alvos de solicitação, incluindo servidores de origem cruzada controlados por um atacante. Esta vulnerabilidade está fixada em 1.15.1 e 0.31.1. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 42042 foi publicado em 2026 - 04 - 24 T 18: 16: 31.293 Z e última modificação em 2026 - 06 - 17 T 10: 47: 21.420 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 5.4, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N, pontuação de exploração 2.8, pontuação de impacto 2.5; CVSS. Classificações de fraqueza associadas: CWE- 183, CWE- 201.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: axios axios. O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.