CVE-2026-41886 in locize
الملخص
بحسب VulDB • 11/05/2026
locize هو منصة لتوطين التطبيقات تربط بين الكود وإعدادات الترجمة الدولية (i18n). قبل الإصدار 4.0.21، كان برنامج SDK الخاص بعميل locize يسجّل معالجًا لحدث `window.addEventListener("message", …)` يقوم بتوجيه الرسائل إلى معالجات داخلية مسجّلة (مثل `editKey`، و`commitKey`، و`commitKeys`، و`isLocizeEnabled`، و`requestInitialize`، وغيرها) دون التحقق من `event.origin`. كان المستمع السابق للترقيع في الملف `src/api/postMessage.js` يشترط لتوجيه الرسائل أن يكون `event.data.sender === "i18next-editor-frame"` — وهذه القيمة موجودة داخل حمولة الرسالة التي يتحكم فيها المهاجم، وليست القيمة المفروضة من قبل المتصفح بناءً على الأصل (origin). أي صفحة ويب يمكنها تضمين أو أن تُضمّن من قبل مضيف يدعم locize — مثل إطار iframe في صفحة تابعة لطرف ثالث، أو نافذة ضحية تم فتحها عبر `window.open`، أو إطار رئيسي يمتد للأسفل — يمكنها إرسال رسالة `postMessage` مُعدّة خصيصًا (crafted) وتنشيط المعالجات الداخلية. تم إصلاح هذه المشكلة في الإصدار 4.0.21.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.