axios の脆弱性 (CVE-2026-101908)
概要
axios に 脆弱性 (CVE-2026-101908) が存在。不正な操作・情報露出のリスクがあります。Authorization header 経由で攻撃可能。対策: 1.20.0 以上に更新。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
Summary
Axios fetch adapter requests can be altered by inherited properties on fetchOptions. The adapter resolves method, headers, body, signal, and credentials into resolvedOptions, creates a Request, and then calls fetch(request, fetchOptions) instead of fetch(request, resolvedOptions). In runtimes such as Node's undici-backed fetch, inherited fetchOptions.headers can override the headers already placed on the Request.
Axios does not create the prototype pollution source. This is a read-side gadget that becomes exploitable after same-process prototype pollution.
Impact
An attacker with a prior prototype-pollution primitive can cause affected fetch-adapter requests to send attacker-controlled headers and drop caller-specified headers. This can affect authorization, cache behavior, metadata-service interactions, or application-specific header-based controls.
The issue is specific to fetch-adapter behavior and does not affect Node HTTP adapter requests.
Affected Functionality
Affected:
adapter: 'fetch'.- Runtime environments where the fetch adapter is selected.
- Requests where
fetchOptionsis an object that does not have safe own values for sensitive fetch init fields.
Not affected:
- Node HTTP adapter.
- Requests that do not use the fetch adapter.
- Processes where
Object.prototypeis not polluted.
Technical Details
lib/adapters/fetch.js builds:
const resolvedOptions = {
...fetchOptions,
signal: composedSignal,
me…
出典: NIST National Vulnerability Database NVD GitHub Advisory
自動生成の要約
取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。
axios という製品で、CVE-2026-101908 という番号がついた弱点 (脆弱性) が見つかりました。
悪い人がインターネット越しに Authorization header のような特定の入り口を狙うことで、製品の中を不正に操作できてしまいます。
不正な操作・情報露出のリスクがあります。
対策: axios を 1.20.0 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「axios CVE-2026-101908」を検索してください。
CVE-2026-101908 (axios) — CWE-1321
脆弱箇所: Authorization header / fetchOptions / resolvedOptions / Request
修正バージョン: 1.20.0 (即時適用推奨)
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。
axios に 脆弱性 (CWE-1321) があります。攻撃者は Authorization header を経由して脆弱な処理に到達できます。
axios の影響バージョンはベンダーのアドバイザリで確認してください。攻撃箇所: Authorization header / fetchOptions / resolvedOptions / Request。
重要度: ?。不正な操作・情報露出のリスクがあります。
1.20.0 に更新してください。
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1影響範囲の特定 identify
grep -r 'axios' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
axiosを grep し、稼働しているサービス・バージョンを把握する。 -
2パッチ適用 patch
Upgrade axios to 1.20.0ステージング環境で 1.20.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3事後検証 verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
影響パッケージ
参照URL
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com