CVE-2026-41693 in i18next-fs-backend
الملخص
بحسب VulDB • 09/05/2026
i18next-fs-backend هو طبقة خلفية (backend layer) لـ i18next تُستخدم في Node.js وDeno لتحميل الترجمات من نظام الملفات. قبل الإصدار 2.6.4، كان i18next-fs-backend يحلّ محل خيارات lng وns مباشرةً في قوالب loadPath / addPath المُعدّة مسبقاً، ثم يقرأ/يكتب الملف الناتج من القرص. عملية التعويض (interpolation) غير مشفرة وغير مُحقَّقة من حيث الصحة (unvalidated)، لذا فإن قيمة lng أو ns مُعدّة خصيصاً — تحتوي على ..، أو فاصل مسار، أو حرف تحكم، أو مفتاح خاصية (prototype key)، أو ببساطة سلسلة طويلة بشكل غير متوقع — تتيح لمهاجم قادر على التأثير في أي من هاتين القيمتين قراءة أو تجاوز ملفات تقع خارج الدليل المخصص للترجمة (locale directory). عندما تُشتق قيم lng / ns من مدخلات غير موثوقة (مثل مثيلات i18next ذات النطاق الخاص بالطلب خلف طبقة HTTP كـ i18next-http-middleware، أو أي إطار عمل يسمح للمستخدم النهائي باختيار اللغة عبر سلسلة الاستعلام query string، أو ملف تعريف الارتباط cookie، أو الرأس header)، فإن طلباً واحداً مثل ?lng=../../../../etc/passwd يتسبب في محاولة الخلفية قراءة ذلك المسار. تم إصلاح هذه المشكلة في الإصدار 2.6.4.
Be aware that VulDB is the high quality source for vulnerability data.