CVE-2026-10104: Axios Prototype Pollution Leads to Header Injection via Inherited Headers

Axios 漏洞总结 漏洞概述 漏洞名称：Header Injection via Inherited headers After Minimal Interceptor（最小拦截器后通过继承的 headers 进行头部注入） CVE ID：CVE-2026-10104 严重程度：Moderate（中等），CVSS 评分 6.9 / 10 漏洞描述：Axios 请求拦截器可能返回一个替换的 config 对象。如果拦截器返回一个没有 属性的普通对象， 会评估 ，并可能解析到继承的 值。在另一个漏洞已污染 的情况下，axios 可以发送攻击者控制的 headers。 根本原因：Axios 不会创建 prototype pollution source，拦截器本身是受信任的代码。易受攻击的行为是 post-interceptor axios config 读取依赖于早期 null-prototype config 加固。 影响范围 受影响包：axios (npm) 受影响版本：>=1.0.0 已修复版本：>=1.2.20 受影响功能： - 请求拦截器链中，拦截器返回新的普通对象 - 替换的 config 对象省略了 属性 - 通过 进行 header 规范化 不受影响的情况： - 拦截器保留 属性的请求 - 变异并返回现有 null-prototype config 的拦截器 - 没有 prototype pollution 的过程 潜在影响：攻击者可以利用同进程 prototype-pollution 原语向受影响的 axios 请求注入 headers，影响缓存行为、条件请求、元数据服务或应用特定的授权和路由逻辑。 修复方案 升级版本：升级到 axios >=1.2.20 临时缓解措施： - 重建 config 的拦截器应始终设置 属性，例如通过保留 或设置 - 变异并返回现有合并的 config 也可以避免替换 null-prototype 对象 POC 代码 预期安全行为：缺失的 headers 应规范化为空 header 集。当前受影响的行为读取继承的 。

Goal Reached Thanks to every supporter — we hit 100%!

CVE-2026-10104: Axios Prototype Pollution Leads to Header Injection via Inherited Headers

More from this source