CVE-2026-41886 in locize
Résumé
par VulDB • 11/05/2026
locize est une plateforme de localisation qui relie le code et la configuration i18n. Avant la version 4.0.21, le SDK client de locize enregistre un gestionnaire `window.addEventListener("message", …)` qui dispatche vers des gestionnaires internes enregistrés (editKey, commitKey, commitKeys, isLocizeEnabled, requestInitialize, …) sans valider `event.origin`. Le listener pré-correction dans `src/api/postMessage.js` conditionne le dispatch sur `event.data.sender === "i18next-editor-frame"` — cette valeur se trouve dans la charge utile du message contrôlée par l'attaquant, et non dans l'origine imposée par le navigateur. Toute page web pouvant intégrer ou être intégrée par un hôte activant locize — un iframe sur une page tierce, une victime ouverte via `window.open`, ou un cadre parent accédant vers le bas — pourrait envoyer un `postMessage` fabriqué et déclencher les gestionnaires internes. Ce problème a été corrigé dans la version 4.0.21.
If you want to get best quality of vulnerability data, you may have to visit VulDB.