Skip to content
OpenAdvisories
High WID-SEC-2026-1513 8 CVEs

Kiali für Red Hat OpenShift Service Mesh (Axios, Go, Follow-redirects): Mehrere Schwachstellen

Published May 12, 2026 · Updated Oct 20, 2026 · Revision 37 · de-DE

Vendor: IBM Vendor: Oracle Vendor: Red Hat Vendor: Ubuntu Product: Business Automation Workflow Product: Cognos Analytics Product: DataPower Gateway Product: Enterprise Linux Product: Linux Product: Linux Product: MQ Product: openshift Platform: Linux

Summary

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Kiali für Red Hat OpenShift Service Mesh ausnutzen, um erweiterte Privilegien zu erlangen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.

Product

Red Hat OpenShift ist eine "Platform as a Service" (PaaS) Lösung zur Bereitstellung von Applikationen in der Cloud.

Vulnerabilities 8

  • High 7.5
    CVE-2026-32280

    Unexpected work during chain building in crypto/x509

    During chain building, the amount of work that is done is not correctly limited when a large number of intermediate certificates are passed in VerifyOptions.Intermediates, which can lead to a denial of service. This affects both direct users of crypto/x509 an…

    Go standard library crypto/x509 golang go Debian Ubuntu Azure Linux Alpine Wolfi Go
  • High 7.4
    CVE-2026-42033

    Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking

    Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, when Object.prototype has been polluted by any co-dependency with keys that axios reads without a hasOwnProperty guard, an attacker can (a) silently intercept and mo…

    axios axios langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm
  • High 7.4
    CVE-2026-42035

    Axios: Header Injection via Prototype Pollution

    Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, a prototype pollution gadget exists in the Axios HTTP adapter (lib/adapters/http.js) that allows an attacker to inject arbitrary HTTP headers into outgoing requests.…

    axios axios langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm
  • High 7.2
    CVE-2026-42043

    Axios: Incomplete Fix for CVE-2025-62718 — NO_PROXY Protection Bypassed via RFC 1122 Loopback Subnet (127.0.0.0/8) in Axios 1.15.0

    Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, an attacker who can influence the target URL of an Axios request can use any address in the 127.0.0.0/8 range (other than 127.0.0.1) to completely bypass the NO_PROX…

    axios axios langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm
  • Medium 6.9
    CVE-2026-40895

    follow-redirects: Custom Authentication Headers Leaked to Cross-Domain Redirect Targets

    follow-redirects is an open source, drop-in replacement for Node's `http` and `https` modules that automatically follows redirects. Prior to 1.16.0, when an HTTP request follows a cross-domain redirect (301/302/307/308), follow-redirects only strips authoriza…

    follow-redirects follow-redirects langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm
  • Medium 6.9
    CVE-2026-42039

    Axios: unbounded recursion in toFormData causes DoS via deeply nested request data

    Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, toFormData recursively walks nested objects with no depth limit, so a deeply nested value passed as request data crashes the Node.js process with a RangeError. This …

    axios axios langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm
  • Medium 6.5
    CVE-2026-42044

    Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver`

    Axios is a promise based HTTP client for the browser and Node.js. From 1.0.0 to before 1.15.2, he Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution in the application's dependency tree to be escala…

    axios axios langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm
  • Medium 4.8
    CVE-2026-42041

    Axios: Authentication Bypass via Prototype Pollution Gadget in `validateStatus` Merge Strategy

    Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution to silently suppress all HTTP error responses (40…

    axios axios langfuse-3-worker katib-suggestion-hyperopt Debian Ubuntu Wolfi npm

Revision history

  1. #37

    Neue Updates von Red Hat aufgenommen

  2. #36

    Neue Updates von Red Hat aufgenommen

  3. #35

    Neue Updates von IBM aufgenommen

  4. #34

    Neue Updates von IBM aufgenommen

  5. #33

    Neue Updates von Red Hat aufgenommen

  6. #32

    Neue Updates von Red Hat aufgenommen

  7. #31

    Neue Updates von Ubuntu aufgenommen

  8. #30

    Neue Updates von Red Hat aufgenommen

  9. #29

    Neue Updates von IBM und Red Hat aufgenommen

  10. #28

    Neue Updates von Red Hat aufgenommen

  11. #27

    Neue Updates von Red Hat aufgenommen

  12. #26

    Neue Updates von Red Hat aufgenommen

  13. #25

    Neue Updates von Red Hat aufgenommen

  14. #24

    Neue Updates von Red Hat aufgenommen

  15. #23

    Neue Updates von Oracle Linux aufgenommen

  16. #22

    Neue Updates von Red Hat aufgenommen

  17. #21

    Neue Updates von IBM und Red Hat aufgenommen

  18. #20

    Neue Updates von Red Hat aufgenommen

  19. #19

    Neue Updates von Red Hat aufgenommen

  20. #18

    Neue Updates von Red Hat aufgenommen

  21. #17

    Neue Updates von Red Hat aufgenommen

  22. #16

    Neue Updates von Red Hat aufgenommen

  23. #15

    Neue Updates von Red Hat aufgenommen

  24. #14

    Neue Updates von Red Hat aufgenommen

  25. #13

    Neue Updates von Red Hat aufgenommen

References