| タイトル | axios projectのaxiosにおける送信データへの重要な情報の挿入に関する脆弱性 |
|---|---|
| 概要 | AxiosはブラウザとNode.js向けのPromiseベースのHTTPクライアントです。バージョン0.32.0および1.16.0より前のAxiosのNode.js HTTPアダプターには、特定のプロキシから直接先へのリダイレクトフローにおいて、リダイレクトされたオリジンにProxy-Authorizationヘッダーを転送してしまう可能性があります。これはNode.js使用時に影響し、最初のHTTPリクエストが認証付きHTTPプロキシを通じて送信されると、リダイレクトが追跡され、リダイレクト先のURLがもはやプロキシ経由でなくなる場合に発生します。影響を受けるリダイレクトの形態では、最終的なオリジンが送信元プロキシのためだけに意図されたプロキシ認証情報を受け取ってしまいます。この脆弱性はバージョン0.32.0および1.16.0で修正されています。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月11日0:00 |
| 登録日 | 2026年6月15日11:18 |
| 最終更新日 | 2026年6月15日11:18 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| axios project |
| axios 0.32.0 未満 |
| axios 1.0.0 以上 1.16.0 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月15日] 掲載 |
2026年6月15日11:18 |
| 概要 | Axios is a promise based HTTP client for the browser and Node.js. Prior to 0.32.0 and 1.16.0, Axios’s Node.js HTTP adapter may forward a Proxy-Authorization header to a redirected origin during specific proxy-to-direct redirect flows. This affects Node.js usage, where an initial HTTP request is sent through an authenticated HTTP proxy, redirects are followed, and the redirected URL is no longer proxied. Under affected redirect shapes, the final origin can receive the proxy credential that was intended only for the outbound proxy. This vulnerability is fixed in 0.32.0 and 1.16.0. |
|---|---|
| 公表日 | 2026年6月12日2:16 |
| 登録日 | 2026年6月12日4:18 |
| 最終更新日 | 2026年6月13日4:19 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:axios:axios:*:*:*:*:*:node.js:*:* | 0.32.0 | ||||
| cpe:2.3:a:axios:axios:*:*:*:*:*:node.js:*:* | 1.0.0 | 1.16.0 | |||