CVE-2026-42353
WysokieStreszczenie
i18next-http-middleware przed wersją 3.9.3 przekazywał wartości lng i ns kontrolowane przez użytkownika bez odpowiedniej sanitizacji, co mogło prowadzić do ataków typu path traversal lub SSRF.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do systemów lub danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację i18next-http-middleware do wersji 3.9.3 lub nowszej, aby usunąć tę podatność.
Inne podatności w i18next-http-middleware
Zobacz wszystkie- CVE-2026-41683Wysokie
i18next-http-middleware przed wersją 3.9.3 umożliwia wstrzykiwanie kontrolowanych przez użytkownika wartości językowych do nagłówka odpowiedzi Content-Language, co może prowadzić do ataków typu CRLF. Problem ten został naprawiony w wersji 3.9.3.
- CVE-2026-48714Krytyczne
W wersjach przed 3.9.7 biblioteka i18next-http-middleware nie blokowała wariantów kluczy z kropkami, takich jak '__proto__.polluted', co prowadziło do możliwości zdalnego zanieczyszczenia prototypu w aplikacjach korzystających z i18next-fs-backend w wersji ≤ 2.6.5.
- CVE-2026-48713Krytyczne
Wersje przed 2.6.6 są podatne na zanieczyszczenie prototypu poprzez specjalnie skonstruowane ciągi kluczy brakujących, co może prowadzić do nieautoryzowanego zapisu właściwości na globalnym obiekcie prototypu.
Oryginalny opis (angielski, źródło NVD)
i18next-http-middleware is a middleware to be used with Node.js web frameworks like express or Fastify and also for Deno. Prior to version 3.9.3, i18next-http-middleware passes the user-controlled lng and ns values from getResourcesHandler directly into i18next.services.backendConnector.load(languages, namespaces, …) without any sanitization. Depending on which backend is configured, the unvalidated path segments enable either path traversal or SSRF. This issue has been patched in version 3.9.3.