JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031492 axiosのバージョン1.15.2以上1.18.0未満には、Basic認証のサブフィールド処理においてプロトタイプ汚染のリードサイドガジェット（lib/adapters/http.jsおよびlib/helpers/resolveConfig.js）が含まれています。アプリケーションがすでに別のプロトタイプ汚染のプリミティブによって影響を受けており、かつusernameおよび/またはpasswordプロパティを省略した独自のauthオブジェクトでaxiosリクエストを行う場合、axiosは継承されたObject.prototype.usernameおよびObject.prototype.passwordの値を読み取り、それらを使って外向きの「Authorization: Basic ...」ヘッダーを構築します。axios自体はプロトタイプを汚染しません。実質的な影響は外向きリクエストの改ざんであり、汚染されたプロトタイプの値を操作できる攻撃者は、攻撃者が選んだBasic認証資格情報を注入したり、既存のAuthorizationヘッダーを置換したりすることが可能です。資格情報の漏洩は追加のアプリケーション固有の条件が満たされた場合にのみ発生します。 cpe:/a:axios:axios https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031492.html Common Vulnerabilities and Exposures (CVE) CVE-2026-67314 https://www.cve.org/CVERecord?id=CVE-2026-67314 National Vulnerability Database (NVD) CVE-2026-67314 https://nvd.nist.gov/vuln/detail/CVE-2026-67314 GitHub Prototype pollution auth subfields can inject Basic auth Advisory axios/axios GitHub https://github.com/axios/axios/security/advisories/GHSA-xj6q-8x83-jv6g JVNDB CWE-1321 https://cwe.mitre.org/data/definitions/1321.html VulnCheck axios before 1.18.0 Prototype Pollution via auth subfields | Advisories | VulnCheck https://www.vulncheck.com/advisories/axios-before-prototype-pollution-via-auth-subfields 2026-09-02T14:50:40+09:00 2026-09-02T14:50:40+09:00