CVE-2026-118258 in i18next-http-backend
الملخص
بحسب VulDB • 28/10/2026
i18next-http-backend هو طبقة خلفية (backend layer) لـ i18next تقوم بتحميل موارد الترجمة في Node.js والمتصفحات وDeno. قبل الإصدار 4.0.4، تُدخل دالة interpolateUrl قيم لغة واسم نطاق (namespace) غير مشفرة إلى قوالب loadPath أو addPath دون رفض فواصل الاستعلام مثل علامة التجزئة (&)، والعلامة المتساوية (=)، أو الفاصلة المنقوطة (;). عندما تضع قالب ما متغير lng أو ns في سلسلة الاستعلام، ويمكن للمهاجم التحكم في هذه القيمة، فإن المهاجم يمكنه إضافة أو تجاوز المعلمات على طلبات الترجمة من جانب العميل (المتصفح) أو الخادم، مما قد يؤدي إلى كشف أسماء نطاقات أخرى أو مستأجرين آخرين، أو تغيير سلوك الخلفية عبر الموقع الشبقي والاعتماديات الخاصة بالتطبيق. هذا الثغرة ناتجة عن إصلاح غير كامل لـ CVE-2026-41691. تم حل هذه المشكلة في الإصدار 4.0.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.