CVE-2026-118256 in Vue I18n
요약
\~에 의해 VulDB • 2026. 10. 28.
Vue I18n은 Vue.js용 국제화 플러그인입니다. 버전 9.0.0-beta.5부터 11.4.14 및 12.0.0-alpha.5까지, 레거시 API에서 escapeParameterHtml로 호출되는 escapeParameter를 활성화하면 동일한 번역 호출이 list 값과 named 값을 모두 제공할 때 named interpolation values가 이스케이프되지 않습니다. 이는 escapeParams() 함수가 list 분기만 처리하기 때문입니다. HTML로서 번역을 렌더링하고 list와 함께 신뢰할 수 없는 named 값을 전달하는 애플리케이션은 피싱 링크, 폼 및 레이아웃 변경 등 공격자가 제어 가능한 마크업을 삽입할 수 있으며, srcdoc sanitizer 우회나 sanitize 기능이 적용되지 않은 릴리스에서는 스크립트 실행을 허용할 수 있습니다. 이 문제는 버전 11.4.14와 12.0.0-alpha.5에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.