CVE-2026-105800
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
i18next-http-backend przed wersją 4.0.2 pozwala na wstrzyknięcie wartości języka lub przestrzeni nazw kontrolowanych przez atakującego do niestandardowego loadPath lub addPath rozpoczynającego się bezpośrednio od {{lng}} lub {{ns}}. Może to spowodować, że dane wejściowe oparte na dwukropku staną się absolutnym adresem URL lub w przeglądarkach przestrzeń nazw z podwójnym ukośnikiem stanie się adresem URL względnym protokołu. Wynikowe żądanie może opuścić zamierzony origin i spowodować wstrzyknięcie adresu URL lub server-side request forgery.
Ocena ryzyka
Może dojść do wstrzyknięcia adresu URL lub server-side request forgery, co może pozwolić na dostęp do zasobów wewnętrznych lub wykonanie nieautoryzowanych żądań. Może to naruszyć bezpieczeństwo aplikacji i infrastruktury.
Rekomendacja
Zaktualizuj i18next-http-backend do wersji 4.0.2 lub nowszej. Unikaj używania szablonów loadPath lub addPath rozpoczynających się bezpośrednio od {{lng}} lub {{ns}}.
Inne podatności w i18next-http-backend
Zobacz wszystkie- CVE-2026-118258Niskie
W bibliotece i18next-http-backend przed wersją 4.0.4 funkcja interpolateUrl wstawia niezakodowane wartości języka i przestrzeni nazw do szablonów loadPath lub addPath, nie odrzucając separatorów zapytań &, = i ;. Gdy szablon umieszcza lng lub ns w ciągu zapytania, a atakujący kontroluje tę wartość, może dodawać lub nadpisywać parametry żądań tłumaczeń, potencjalnie ujawniając inne przestrzenie nazw lub tenantów. Podatność wynika z niekompletnej poprawki CVE-2026-41691 i została naprawiona w wersji 4.0.4.
- CVE-2026-115730Niskie
i18next-http-backend w wersji 4.0.2 zawiera niekompletną poprawkę w interpolateUrl(), która pozwala atakującym przekierować żądania tłumaczeń przez podanie wartości ns zaczynającej się od ukośnika. Atakujący kontrolujący wartość namespace może utworzyć URL protokołowo-relatywny w szablonach loadPath lub addPath, aby załadować tłumaczenia hostowane przez atakującego, umożliwiając wstrzyknięcie treści do UI i XSS.
Oryginalny opis (angielski, źródło NVD)
i18next-http-backend is a backend layer for i18next that loads translation resources in Node.js, browsers, and Deno. Prior to 4.0.2, attacker-controlled language or namespace values interpolated into a custom loadPath or addPath that begins directly with {{lng}} or {{ns}} can make colon-based input become an absolute URL or, in browsers, make a double-slash namespace become a protocol-relative URL. The resulting request can leave the intended origin and cause URL injection or server-side request forgery. The default /locales/{{lng}}/{{ns}}.json template and templates with a leading path or origin are not affected because the placeholder does not occupy the URL's structural beginning. This issue is fixed in version 4.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS