CVE-2026-118258 in i18next-http-backend
Zusammenfassung
von VulDB • 29.10.2026
i18next-http-backend ist eine Backend-Schicht für i18next, die Übersetzungsressourcen in Node.js, Browsern und Deno lädt. Vor Version 4.0.4 fügt interpolateUrl nicht codierte Sprach- (language) und Namespace-Werte in loadPath- oder addPath-Vorlagen ein, ohne Ampersand (&), Gleichheitszeichen (=) oder Semikolon (;) als Trennzeichen für Abfrageparameter zu verwerfen. Wenn eine Vorlage lng oder ns im Query-String platziert und der Angreifer diesen Wert kontrolliert, kann er Parameter bei Übersetzungsanfragen auf Browser- oder Serverseite hinzufügen oder überschreiben, was potenziell andere Namespaces oder Mandanten offenlegt oder das Backend-Verhalten durch die Netzwerkposition und Anmeldeinformationen der Anwendung ändert. Diese Schwachstelle ist das Ergebnis einer unvollständigen Korrektur für CVE-2026-41691. Dieses Problem wurde in Version 4.0.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.