CVE-2026-118257

WysokieCVSS 7.2

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Vue I18n to plugin internacjonalizacji dla Vue.js. Od wersji 11.1.10 do 11.4.14 oraz od 12.0.0-alpha.4 do 12.0.0-alpha.5 funkcja sanitizeTranslatedHtml() escapuje znaczniki i tekst obsługi zdarzeń wewnątrz wartości srcdoc iframe, ale pozostawia atrybut srcdoc aktywny. Przeglądarki dekodują odwołania znakowe i parsują wartość jako zagnieżdżony dokument HTML w tej samej domenie, pozwalając kontrolowanym przez atakującego parametrom lub treści tłumaczenia umieszczonym w srcdoc na wykonanie skryptu, gdy aplikacje włączą escapeParameter i renderują tłumaczenia jako HTML przez v-html. Wersje 9.14.5 i 10.0.8 są również podatne i nie są już wspierane, natomiast renderowanie i18n-t nie jest podatne. Problem naprawiono w wersjach 11.4.14 i 12.0.0-alpha.5.

Ocena ryzyka

Możliwe jest wykonanie skryptu w kontekście strony hostingowej, co może prowadzić do kradzieży sesji lub danych aplikacji. Ryzyko dotyczy aplikacji używających Vue I18n z escapeParameter i v-html oraz niezaufanych tłumaczeń lub parametrów.

Rekomendacja

Zaktualizuj Vue I18n do wersji 11.4.14 lub 12.0.0-alpha.5 (lub nowszej) i zmigruj z nieobsługiwanych wersji 9.x i 10.x. Unikaj renderowania tłumaczeń przez v-html z niezaufanymi danymi.

Inne podatności w Vue I18n

CVE-2026-118256Niskie
W wtyczce Vue I18n od wersji 9.0.0-beta.5 do 11.4.14 oraz w 12.0.0-alpha.5 włączenie escapeParameter (escapeParameterHtml w Legacy API) nie escapuje nazwanych wartości interpolacji, gdy to samo wywołanie tłumaczenia dostarcza zarówno wartości listowe, jak i nazwane, ponieważ escapeParams() przetwarza tylko gałąź listową. Aplikacje renderujące tłumaczenia jako HTML i przekazujące niezaufane nazwane wartości wraz z listą mogą wstawiać znaczniki kontrolowane przez atakującego, w tym linki phishingowe, formularze i zmiany układu, a w połączeniu z obejściem sanitizera srcdoc lub w wersjach bez sanitizera umożliwić wykonanie skryptu. Problem naprawiono w wersjach 11.4.14 i 12.0.0-alpha.5.

Oryginalny opis (angielski, źródło NVD)

Vue I18n is the internationalization plugin for Vue.js. From 11.1.10 until 11.4.14 and from 12.0.0-alpha.4 until 12.0.0-alpha.5, sanitizeTranslatedHtml() escapes markup and event-handler text inside an iframe srcdoc value but leaves the srcdoc attribute active. Browsers decode the character references and parse the value as a same-origin nested HTML document, allowing attacker-controlled parameters or translation content placed in srcdoc to execute script when applications enable escapeParameter and render translations as HTML through v-html. Versions 9.14.5 and 10.0.8 are also affected and are no longer supported, while i18n-t rendering is not affected. This issue is fixed in versions 11.4.14 and 12.0.0-alpha.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS