Node.js 模組 axios 1.x < 1.16.0 原型污染代理 MITM （CVE-2026-44494）

high Nessus Plugin ID 318803

語言:

概要

Node.js JavaScript 執行階段環境中的模組受到中間人弱點的影響。

說明

遠端主機上安裝的 axios Node.js 模組版本早於 1.x1.16.0。因此，該應用程式受到以下弱點影響：

- config.proxy 中的原型污染小工具允許將應用程式相依性樹狀結構中的任何 Object.prototype 污染升級為完整的中間人攻擊。HTTP 配接器會透過周遊原型鏈結的標準屬性存取來讀取 config.proxy。由於 Axios 預設中不存在代理，因此合併的組態物件沒有自己的代理屬性，因此可以透過原型污染插入。注入後，setProxy（）會透過攻擊者的代理伺服器路由所有 HTTP 請求，從而攔截憑證並篡改回應。（CVE-2026-44494）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。