Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Axios 是基于 Promise 的 HTTP 客户端，用于浏览器和Node.js。在 0.32.0 和 1.16.0之前，axios 公开了两个读取端原型污染小工具。当 Object.prototype 被同一进程中的上游依赖项（例如 lodash _.merge / CVE-2018-16487）污染时，axios 会静默获取污染的值。（1） lib/utils.js第 406 行将 merge（） 的累加器构建为 result = {}，因此 result[targetKey]（第 414 行）遍历 Object.prototype，并且被污染的存储桶自己的密钥被复制到合并的标头中并在线路上行驶。（2） lib/core/mergeConfig.js 第 26 行将 hasOwnProperty 描述符构建为普通对象文本。Object.defineProperty 通过原型链读取 descriptor.get/descriptor.set，因此受到污染的 Object.prototype.get 或 Object.prototype.set 会使调用在每个 axios 请求上同步抛出 TypeError。此漏洞已在 0.32.0 和 1.16.0 中修复。(CVE-2026-44490)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-44490

medium Nessus 插件 ID 320679

版本 1.1