原文

axiosのバージョン1.15.2以上1.18.0未満には、Basic認証のサブフィールド処理においてプロトタイプ汚染のリードサイドガジェット（lib/adapters/http.jsおよびlib/helpers/resolveConfig.js）が含まれています。アプリケーションがすでに別のプロトタイプ汚染のプリミティブによって影響を受けており、かつusernameおよび/またはpasswordプロパティを省略した独自のauthオブジェクトでaxiosリクエストを行う場合、axiosは継承されたObject.prototype.usernameおよびObject.prototype.passwordの値を読み取り、それらを使って外向きの「Authorization: Basic ...」ヘッダーを構築します。axios自体はプロトタイプを汚染しません。実質的な影響は外向きリクエストの改ざんであり、汚染されたプロトタイプの値を操作できる攻撃者は、攻撃者が選んだBasic認証資格情報を注入したり、既存のAuthorizationヘッダーを置換したりすることが可能です。資格情報の漏洩は追加のアプリケーション固有の条件が満たされた場合にのみ発生します。