Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Axios は、ブラウザおよび Node.js 用の Promise ベースの HTTP クライアントです。1.15.1 および 0.31.1 より前のバージョンでは、Axios ライブラリはプロトタイプ汚染ガジェット攻撃に対して脆弱であり、この攻撃により、任意の Object.prototype 汚染によって、すべての HTTP エラー応答(401、403、500 など)がサイレントに抑制され、それらが成功した応答として処理される可能性があります。これにより、アプリケーションレベルの認証とエラー処理が完全にバイパスされます。根本的な原因は、validateStatusがmergeDirectKeysマージ戦略を使用する唯一の構成プロパティであり、これは本質的にプロトタイプチェーンをトラバースする演算子である演算子でJavaScriptを使用します。Object.prototype.validateStatusが() => trueで汚染されている場合、すべてのHTTPステータスコードが成功として受け入れられます。この脆弱性は、1.15.1 および 0.31.1 で修正されています。(CVE-2026-42041)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-42041

medium Nessus プラグイン ID 310528

バージョン 1.10