原文

axiosは、Object.prototypeが別の脆弱性や依存関係によって既に汚染されている場合に、リクエストの構築を変更できるリードサイドのプロトタイプ汚染ガジェットに対して脆弱です。ボディ無しのメソッドエイリアス（axios.get(), axios.delete(), axios.head(), axios.options()）では、configの正規化前に継承されたデータが(config || {}).data経由で読み取られるため、ボディを設定していないリクエストに対して攻撃者が制御するボディが送信される可能性があります。追加の低レベルパスは、エクスポートされたアダプターやヘルパー（例: lib/adapters/http.js、unsafe/helpers/resolveConfig.js）をプレーンな設定で直接呼び出し、独自のプロキシやparamsSerializerがない場合にのみ到達可能で、その結果、汚染されたプロキシ値（攻撃者が制御するプロキシ経由のルーティング）やparamsSerializer値（攻撃者制御のURLシリアライゼーション）を継承する可能性があります。これらの低レベルガジェットは、1.15.2以降の通常の高レベルなaxios呼び出しでは再現しません。この問題はaxios 1.18.0および0.33.0で修正されています。