Impatto Sistemico

Critico (77.3)

Sintesi

Disponibile un Proof of Concept (PoC) per lo sfruttamento della CVE-2026-67320 che interessa Axios, nota libreria client http per l’interoperabilità tra ambienti browser e Node.js.

Tipologia

• Information Disclosure
• Spoofing

Descrizione e potenziali impatti

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-67320 – di tipo ” Information Disclosure ” e con score CVSS v4.0 pari a 8.3 – è dovuta a una gestione non corretta della configurazione delle richieste da parte della libreria Axios in ambiente Node.js: in particolari condizioni, una precedente compromissione tramite ” Prototype Pollution ” può consentire l’iniezione di una configurazione proxy malevola attraverso la catena dei prototipi, causando il reindirizzamento delle richieste applicative verso un proxy controllato dall’attaccante.

Qualora sfruttata, tale vulnerabilità potrebbe permettere a un attaccante di intercettare e monitorare il traffico HTTP generato dall’applicazione, ottenendo l’accesso a informazioni sensibili quali credenziali, token di autenticazione, intestazioni HTTP, URL completi e dati trasmessi nelle richieste. Inoltre, l’attaccante potrebbe manipolare le risposte restituite all’applicazione, influenzandone il comportamento e facilitando ulteriori attività malevole o accessi non autorizzati a servizi e risorse applicative.

Prodotti e versioni affette

Axios

• versioni dalla 0.31.1 alla 0.32.9
• versioni dalla 1.15.2 alla 1.17.9

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni fornite dallo sviluppatore e disponibili ai link nella sezione Riferimenti.