CVE-2026-115730
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
i18next-http-backend w wersji 4.0.2 zawiera niekompletną poprawkę w interpolateUrl(), która pozwala atakującym przekierować żądania tłumaczeń przez podanie wartości ns zaczynającej się od ukośnika. Atakujący kontrolujący wartość namespace może utworzyć URL protokołowo-relatywny w szablonach loadPath lub addPath, aby załadować tłumaczenia hostowane przez atakującego, umożliwiając wstrzyknięcie treści do UI i XSS.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwą treść do interfejsu użytkownika i przeprowadzić atak XSS, co może prowadzić do przejęcia sesji użytkownika.
Rekomendacja
Zaktualizuj i18next-http-backend do wersji zawierającej pełną poprawkę lub wdróż walidację wartości ns blokującą wartości zaczynające się od ukośnika. Rozważ ograniczenie zaufania do zewnętrznych źródeł tłumaczeń.
Inne podatności w i18next-http-backend
Zobacz wszystkie- CVE-2026-118258Niskie
W bibliotece i18next-http-backend przed wersją 4.0.4 funkcja interpolateUrl wstawia niezakodowane wartości języka i przestrzeni nazw do szablonów loadPath lub addPath, nie odrzucając separatorów zapytań &, = i ;. Gdy szablon umieszcza lng lub ns w ciągu zapytania, a atakujący kontroluje tę wartość, może dodawać lub nadpisywać parametry żądań tłumaczeń, potencjalnie ujawniając inne przestrzenie nazw lub tenantów. Podatność wynika z niekompletnej poprawki CVE-2026-41691 i została naprawiona w wersji 4.0.4.
- CVE-2026-105800Niskie
i18next-http-backend przed wersją 4.0.2 pozwala na wstrzyknięcie wartości języka lub przestrzeni nazw kontrolowanych przez atakującego do niestandardowego loadPath lub addPath rozpoczynającego się bezpośrednio od {{lng}} lub {{ns}}. Może to spowodować, że dane wejściowe oparte na dwukropku staną się absolutnym adresem URL lub w przeglądarkach przestrzeń nazw z podwójnym ukośnikiem stanie się adresem URL względnym protokołu. Wynikowe żądanie może opuścić zamierzony origin i spowodować wstrzyknięcie adresu URL lub server-side request forgery.
Oryginalny opis (angielski, źródło NVD)
i18next-http-backend 4.0.2 contains an incomplete fix in interpolateUrl() that allows attackers to redirect translation requests by supplying an ns value starting with a slash. Attackers controlling the namespace value can form a protocol-relative URL in loadPath or addPath templates to load attacker-hosted translations, enabling UI content injection and cross-site scripting.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS