CVE-2026-41683
WysokieStreszczenie
i18next-http-middleware przed wersją 3.9.3 umożliwia wstrzykiwanie kontrolowanych przez użytkownika wartości językowych do nagłówka odpowiedzi Content-Language, co może prowadzić do ataków typu CRLF. Problem ten został naprawiony w wersji 3.9.3.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które wykorzystują wstrzyknięte sekwencje CRLF, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi w odpowiedziach HTTP.
Rekomendacja
Zaleca się aktualizację i18next-http-middleware do wersji 3.9.3 lub nowszej, aby usunąć tę podatność.
Inne podatności w i18next-http-middleware
Zobacz wszystkie- CVE-2026-42353Wysokie
i18next-http-middleware przed wersją 3.9.3 przekazywał wartości lng i ns kontrolowane przez użytkownika bez odpowiedniej sanitizacji, co mogło prowadzić do ataków typu path traversal lub SSRF.
- CVE-2026-48714Krytyczne
W wersjach przed 3.9.7 biblioteka i18next-http-middleware nie blokowała wariantów kluczy z kropkami, takich jak '__proto__.polluted', co prowadziło do możliwości zdalnego zanieczyszczenia prototypu w aplikacjach korzystających z i18next-fs-backend w wersji ≤ 2.6.5.
- CVE-2026-48713Krytyczne
Wersje przed 2.6.6 są podatne na zanieczyszczenie prototypu poprzez specjalnie skonstruowane ciągi kluczy brakujących, co może prowadzić do nieautoryzowanego zapisu właściwości na globalnym obiekcie prototypu.
Oryginalny opis (angielski, źródło NVD)
i18next-http-middleware is a middleware to be used with Node.js web frameworks like express or Fastify and also for Deno. Prior to version 3.9.3, i18next-http-middleware wrote user-controlled language values into the Content-Language response header after passing them through utils.escape(), which is an HTML-entity encoder that does not strip carriage return, line feed, or other control characters. When the application used an older i18next (< 19.5.0) that still exercised the backward-compatibility fallback at LanguageDetector.js:100 or otherwise produced a raw detected value, CRLF sequences in the attacker-controlled lng parameter reached res.setHeader('Content-Language', ...) verbatim. This issue has been patched in version 3.9.3.