Node.js モジュール axios 1.x < 1.16.0 Prototype Pollution Proxy MITM(CVE-2026-44494)

high Nessus プラグイン ID 318803

Language:

概要

Node.js JavaScript Runtime Environment のモジュールは、中間者の脆弱性の影響を受けます。

説明

リモートホストにインストールされている axios Node.js モジュールのバージョンは、1.16.0 より前の 1.x です。したがって、以下の脆弱性の影響を受けます。

- config.proxy のプロトタイプ汚染ガジェットにより、アプリケーションの依存関係ツリーの Object.prototype 汚染が完全な中間者攻撃にエスカレートされる可能性があります。HTTP アダプターは、プロトタイプチェーンをトラバースする標準プロパティアクセスを介して config.proxy を読み取ります。Axios のデフォルトにはプロキシが存在しないため、マージされた構成オブジェクトには独自のプロキシプロパティがなく、プロトタイプ汚染を介して注入可能になります。注入されると、setProxy() はすべての HTTP リクエストを攻撃者のプロキシサーバー経由でルーティングし、認証情報の傍受と応答の改ざんを可能にします。(CVE-2026-44494)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。