CVE-2026-118256

NiskieCVSS 2.1

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

W wtyczce Vue I18n od wersji 9.0.0-beta.5 do 11.4.14 oraz w 12.0.0-alpha.5 włączenie escapeParameter (escapeParameterHtml w Legacy API) nie escapuje nazwanych wartości interpolacji, gdy to samo wywołanie tłumaczenia dostarcza zarówno wartości listowe, jak i nazwane, ponieważ escapeParams() przetwarza tylko gałąź listową. Aplikacje renderujące tłumaczenia jako HTML i przekazujące niezaufane nazwane wartości wraz z listą mogą wstawiać znaczniki kontrolowane przez atakującego, w tym linki phishingowe, formularze i zmiany układu, a w połączeniu z obejściem sanitizera srcdoc lub w wersjach bez sanitizera umożliwić wykonanie skryptu. Problem naprawiono w wersjach 11.4.14 i 12.0.0-alpha.5.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy HTML lub skrypty do renderowanych tłumaczeń, co umożliwia phishing, zmianę układu strony lub wykonanie kodu w przeglądarce użytkownika. Stanowi to poważne zagrożenie dla bezpieczeństwa aplikacji frontendowych.

Rekomendacja

Zaktualizuj Vue I18n do wersji 11.4.14 lub 12.0.0-alpha.5. Nie przekazuj niezaufanych nazwanych wartości wraz z listami do tłumaczeń renderowanych jako HTML.

Inne podatności w Vue I18n

CVE-2026-118257Wysokie
Vue I18n to plugin internacjonalizacji dla Vue.js. Od wersji 11.1.10 do 11.4.14 oraz od 12.0.0-alpha.4 do 12.0.0-alpha.5 funkcja sanitizeTranslatedHtml() escapuje znaczniki i tekst obsługi zdarzeń wewnątrz wartości srcdoc iframe, ale pozostawia atrybut srcdoc aktywny. Przeglądarki dekodują odwołania znakowe i parsują wartość jako zagnieżdżony dokument HTML w tej samej domenie, pozwalając kontrolowanym przez atakującego parametrom lub treści tłumaczenia umieszczonym w srcdoc na wykonanie skryptu, gdy aplikacje włączą escapeParameter i renderują tłumaczenia jako HTML przez v-html. Wersje 9.14.5 i 10.0.8 są również podatne i nie są już wspierane, natomiast renderowanie i18n-t nie jest podatne. Problem naprawiono w wersjach 11.4.14 i 12.0.0-alpha.5.

Oryginalny opis (angielski, źródło NVD)

Vue I18n is the internationalization plugin for Vue.js. From 9.0.0-beta.5 until 11.4.14 and 12.0.0-alpha.5, enabling escapeParameter, called escapeParameterHtml in the Legacy API, does not escape named interpolation values when the same translation call supplies both list and named values because escapeParams() processes only the list branch. Applications that render translations as HTML and pass untrusted named values with a list can insert attacker-controlled markup, including phishing links, forms, and layout changes, and can permit script execution when combined with the srcdoc sanitizer bypass or on releases without the sanitizer. This issue is fixed in versions 11.4.14 and 12.0.0-alpha.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS