CVE-2023-48711 in google-translate-api-browser
Tóm tắt
Bởi VulDB • 25/05/2026
google-translate-api-browser là một gói npm giao diện với Google Translate Web API. Một lỗ hổng Server-Side Request Forgery (SSRF) tồn tại trong các ứng dụng sử dụng gói `google-translate-api-browser` và expose `translateOptions` cho người dùng cuối. Kẻ tấn công có thể đặt một giá trị `tld` độc hại, khiến ứng dụng trả về các URL không an toàn trỏ đến các tài nguyên cục bộ. Trường `translateOptions.tld` không được kiểm tra và làm sạch đúng cách trước khi được đưa vào URL của Google Translate. Điều này cho phép kẻ tấn công có quyền kiểm soát `translateOptions` đặt `tld` thành một payload như `@127.0.0.1`. Điều này khiến URL đầy đủ trở thành `https://[email protected]/...`, trong đó `translate.google.` là tên người dùng được sử dụng để kết nối với localhost. Kẻ tấn công có thể gửi các yêu cầu trong các mạng nội bộ và localhost. Nếu có bất kỳ ứng dụng HTTPS nào trên mạng nội bộ có lỗ hổng có thể khai thác thông qua lệnh gọi GET, thì việc khai thác lỗ hổng này là khả thi. Vấn đề này đã được khắc phục trong phiên bản phát hành 4.1.3. Người dùng được khuyến nghị nâng cấp. Không có các giải pháp tạm thời (workarounds) nào được biết đến cho lỗ hổng này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.