CVE-2023-48711 in google-translate-api-browser
Résumé
par VulDB • 21/05/2026
google-translate-api-browser est un package npm qui interagit avec l'API web de Google Translate. Une vulnérabilité de Server-Side Request Forgery (SSRF) est présente dans les applications utilisant le package `google-translate-api-browser` et exposant les `translateOptions` à l'utilisateur final. Un attaquant peut définir un `tld` malveillant, ce qui amène l'application à retourner des URL non sécurisées pointant vers des ressources locales. Le champ `translateOptions.tld` n'est pas correctement assaini avant d'être intégré à l'URL de Google Translate. Cela permet à un attaquant ayant le contrôle sur les `translateOptions` de définir le `tld` sur une charge utile telle que `@127.0.0.1`. Cela transforme l'URL complète en `https://[email protected]/...`, où `translate.google.` est utilisé comme nom d'utilisateur pour se connecter à localhost. Un attaquant peut envoyer des requêtes au sein des réseaux internes et vers l'hôte local. Si une application HTTPS présente une vulnérabilité exploitable via un appel GET est présente sur le réseau interne, il serait possible d'exploiter cette vulnérabilité. Ce problème a été corrigé dans la version 4.1.3. Il est conseillé aux utilisateurs de mettre à jour. Aucune solution de contournement n'est connue pour cette vulnérabilité.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.