偵測

Node.js 模組 axios 0.19.x < 0.31.1 / 1.x < 1.15.2 原型污染憑證盜竊 （CVE-2026-44495）

high Nessus Plugin ID 318802

語言:

概要

Node.js JavaScript 執行階段環境中的模組受到憑證竊取弱點的影響。

說明

遠端主機上安裝的 axios Node.js 模組版本早0.19.x0.31.1於或1.x早於 1.15.2。因此，該應用程式受到以下弱點影響：

 - 配置合併和回應轉換管道中的原型污染小工具允許憑證竊取和回應劫持。mergeConfig 函式會透過周遊原型鏈的標準屬性存取來讀取組態屬性。當 Object.prototype.transformResponse 被函式污染時，它會覆寫每個要求的預設 JSON 回應剖析器。插入的函式會在將此設定為 config 的情況下執行，從而公開 auth.username、auth.password、請求 URL 和所有標頭。
 (CVE-2026-44495)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級到 axios 版本/1.15.2或更高版本0.31.1。

另請參閱

https://github.com/advisories/GHSA-3g43-6gmg-66jw

Plugin 詳細資訊

嚴重性: High

ID: 318802

檔案名稱: nodejs_module_axios_GHSA-3g43-6gmg-66jw.nasl

版本: 1.1

類型: Local

代理程式: windows, macosx, unix

系列: Misc.

已發布: 2026/6/5

已更新: 2026/6/5

組態: 啟用徹底檢查 (optional)

支援的感應器: Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 4.7

CVSS v2

風險因素: Medium

基本分數: 6.6

媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:P/A:P

CVSS 評分資料來源: CVE-2026-44495

CVSS v3

風險因素: High

基本分數: 7

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:L

弱點資訊

CPE: cpe:/a:axios:axios

必要的 KB 項目: installed_sw/Node.js, Host/nodejs/modules/enumerated

修補程式發佈日期: 2026/5/29

弱點發布日期: 2026/5/29

參考資訊

CVE: CVE-2026-44495

IAVA: 2026-A-0534