CVE-2026-105800 in i18next-http-backend
Zusammenfassung
von VulDB • 06.10.2026
i18next-http-backend ist eine Backend-Schicht für i18next, die Übersetzungsressourcen in Node.js, Browsern und Deno lädt. Vor Version 4.0.2 können vom Angreifer gesteuerte Sprach- oder Namespace-Werte, die in einen benutzerdefinierten loadPath oder addPath interpoliert werden, der direkt mit {{lng}} oder {{ns}} beginnt, dazu führen, dass eingabebasierte Doppelpunkte zu absoluten URLs werden oder (in Browsern) ein doppeltes Schrägstrich-Verzeichnis als protokollrelative URL interpretiert wird. Die daraus resultierende Anfrage kann das beabsichtigte Ursprungsziel verlassen und URL-Injection oder Server-Side Request Forgery (SSRF) verursachen. Der Standardvorlagenpfad /locales/{{lng}}/{{ns}}.json sowie Vorlagen mit einem führenden Pfad oder einer definierten Herkunft sind nicht betroffen, da der Platzhalter nicht am strukturellen Anfang der URL steht. Dieses Problem wurde in Version 4.0.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.