Node.js 模块 axios 1.x < 1.16.0 Prototype Pollution Proxy MITM （CVE-2026-44494）

high Nessus 插件 ID 318803

语言：

简介

Node.js JavaScript 运行环境中的一个模块受到一个中间人漏洞影响。

描述

远程主机上安装的 axios Node.js 模块版本低于 1.x1.16.0. 因此，该产品系列受到以下漏洞的影响：

- config.proxy 中的 prototype 污染小工具允许将应用程序的依存关系树中的任何 Object.prototype 污染升级为完全的中间人攻击。HTTP 适配器通过遍历原型链的标准属性访问权限读取 config.proxy。由于 Axios 默认设置中不存在代理，合并后的 config 对象没有自己的代理属性，因此可通过原型污染进行注入。一旦注入，setProxy（）会通过攻击者的代理服务器路由所有 HTTP 请求，从而拦截凭据和篡改响应。（CVE-2026-44494）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。