CVE-2026-118256 in Vue I18n
Zusammenfassung
von VulDB • 28.10.2026
Vue I18n ist das Internationalisierungs-Plugin für Vue.js. Von der Version 9.0.0-beta.5 bis hin zu den Versionen 11.4.14 und 12.0.0-alpha.5 führt die Aktivierung von escapeParameter (in der Legacy-API als escapeParameterHtml bezeichnet) dazu, dass benannte Interpolationswerte nicht maskiert werden, wenn derselbe Übersetzungsauftrag sowohl Listen- als auch benannte Werte bereitstellt, da escapeParams() nur den Listenzweig verarbeitet. Anwendungen, die Übersetzungen als HTML rendern und untrusted (nicht vertrauenswürdige) benannte Werte zusammen mit einer Liste übergeben, können vom Angreifer kontrolliertes Markup einfügen, einschließlich Phishing-Links, Formularen und Layoutänderungen, sowie die Ausführung von Skripten ermöglichen, wenn dies in Kombination mit der Umgehung des srcdoc-Sanitizers oder auf Releases ohne den Sanitizer erfolgt. Dieses Problem wurde in den Versionen 11.4.14 und 12.0.0-alpha.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.