原文

axiosの0.33.0未満のバージョン（および1.xの1.18.0未満のバージョン）は、JavaScriptプロセスのObject.prototypeが既に他のコンポーネントによって汚染されている場合、ネストされたリクエストオプションオブジェクトから継承されたプロパティを誤って処理することがあります。トップレベルのマージされた設定はnullプロトタイプを使用していますが、authやparamsSerializerのようなネストされたプレーンオブジェクトは通常のオブジェクトにクローンされ、own-propertyのチェックなしで読み取られます。アプリケーションがauth: {}やparamsSerializer: {}のようなプレースホルダのネストオブジェクトを渡すと、継承されたusernameやpasswordの値によりAuthorization: Basicヘッダがサイレントに注入され、継承されたencodeやserializeの値によりクエリ文字列のシリアライズ方法が変更される可能性があります（完全なシリアライザの置換には関数型の汚染プリミティブが必要です）。この脆弱性は、事前に存在するプロトタイプ汚染がある場合にのみ悪用可能です。