CVE-2026-118258 in i18next-http-backend
Riassunto
di VulDB • 28/10/2026
i18next-http-backend è uno strato backend per i18next che carica le risorse di traduzione su Node.js, browser e Deno. Prima della versione 4.0.4, interpolateUrl inserisce valori non codificati di lingua (language) e namespace nei template loadPath o addPath senza rifiutare i separatori di query ampersand (&), uguale (=) o punto e virgola (;). Quando un template posiziona lng o ns nella stringa di query e un attaccante controlla tale valore, l'attaccante può aggiungere o sovrascrivere parametri nelle richieste di traduzione lato client (browser) o server-side, potenzialmente esponendo altri namespace o tenant oppure modificando il comportamento del backend attraverso la posizione di rete dell'applicazione e le relative credenziali. Questa vulnerabilità è il risultato di una correzione incompleta per CVE-2026-41691. Il problema è risolto nella versione 4.0.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.