CVE-2023-48711 in google-translate-api-browser
要約
〜によって VulDB • 2026年05月21日
google-translate-api-browserは、Google翻訳Web APIとインターフェースするnpmパッケージです。`google-translate-api-browser`パッケージを使用し、`translateOptions`をエンドユーザーに公開しているアプリケーションには、Server-Side Request Forgery (SSRF) の脆弱性が存在します。攻撃者は悪意のある`tld`を設定することで、ローカルリソースを指す安全でないURLをアプリケーションが返すように仕向けることができます。`translateOptions.tld`フィールドは、Google翻訳のURLに組み込まれる前に適切にサニタイズされていません。これにより、`translateOptions`を制御できる攻撃者は、`tld`を`@127.0.0.1`のようなペイロードに設定できます。これにより、完全なURLは`https://[email protected]/...`となり、`translate.google.`はlocalhostへの接続に使用されるユーザー名となります。攻撃者は内部ネットワークおよびローカルホスト内でリクエストを送信できます。内部ネットワーク上にGET呼び出しを通じて攻撃可能な脆弱性を持つHTTPSアプリケーションが存在する場合、この脆弱性を利用して攻撃を行うことが可能になります。この問題はリリースバージョン4.1.3で修正されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.