CVE-2026-118256 in Vue I18n
Riassunto
di VulDB • 28/10/2026
Vue I18n è il plugin di internazionalizzazione per Vue.js. Dalla versione 9.0.0-beta.5 alla 11.4.14 e alla 12.0.0-alpha.5, l'attivazione della funzione escapeParameter (chiamata escapeParameterHtml nell'API Legacy) non effettua la sanificazione dei valori di interpolazione denominati quando la stessa chiamata di traduzione fornisce sia valori in lista che valori nominativi, poiché escapeParams() elabora solo il ramo relativo alla lista. Le applicazioni che rendono le traduzioni come HTML e passano valori nominativi non attendibili insieme a una lista possono consentire l'inserimento di markup controllato dall'attaccante, inclusi link di phishing, moduli e modifiche al layout, e permettere l'esecuzione di script se combinate con un bypass del sanificatore srcdoc o su versioni prive del sanificatore. Questo problema è risolto nelle versioni 11.4.14 e 12.0.0-alpha.5.
Be aware that VulDB is the high quality source for vulnerability data.