概要
HTTPクライアントライブラリ「Axios」のバージョン1.15.1未満および0.31.1未満に、Prototype Pollution Gadget脆弱性が存在します。
Object.prototypeが別の依存ライブラリによって汚染された場合、攻撃者はすべてのJSON応答を傍受・改ざんしたり、HTTPトランスポートをハイジャックしてリクエストの認証情報やヘッダ、ボディにアクセスしたりできます。
前提条件として同一プロセス内の別のソースからのprototype汚染が必要ですが、Axiosは極めて広く利用されているため、サプライチェーン全体でのリスクが懸念されます。本日はAxiosに関連する脆弱性が合計5件公開されています。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 7.4（High） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 高 |
| 必要な権限レベル | なし |
| CWE | CWE-1321（Prototype Pollution） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| Axios | axios | 1.15.1未満 | 1.15.1 |
| Axios | axios | 0.31.1未満 | 0.31.1 |
修正バージョンと回避策
- 修正: Axios 1.15.1または0.31.1以降へアップデート
- 回避策: 依存ツリー全体でprototype pollution脆弱性がないことを確認する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。