Podatności i18next-http-backend

W bibliotece i18next-http-backend przed wersją 4.0.4 funkcja interpolateUrl wstawia niezakodowane wartości języka i przestrzeni nazw do szablonów loadPath lub addPath, nie odrzucając separatorów zapytań &, = i ;. Gdy szablon umieszcza lng lub ns w ciągu zapytania, a atakujący kontroluje tę wartość, może dodawać lub nadpisywać parametry żądań tłumaczeń, potencjalnie ujawniając inne przestrzenie nazw lub tenantów. Podatność wynika z niekompletnej poprawki CVE-2026-41691 i została naprawiona w wersji 4.0.4.

i18next-http-backend w wersji 4.0.2 zawiera niekompletną poprawkę w interpolateUrl(), która pozwala atakującym przekierować żądania tłumaczeń przez podanie wartości ns zaczynającej się od ukośnika. Atakujący kontrolujący wartość namespace może utworzyć URL protokołowo-relatywny w szablonach loadPath lub addPath, aby załadować tłumaczenia hostowane przez atakującego, umożliwiając wstrzyknięcie treści do UI i XSS.

i18next-http-backend przed wersją 4.0.2 pozwala na wstrzyknięcie wartości języka lub przestrzeni nazw kontrolowanych przez atakującego do niestandardowego loadPath lub addPath rozpoczynającego się bezpośrednio od {{lng}} lub {{ns}}. Może to spowodować, że dane wejściowe oparte na dwukropku staną się absolutnym adresem URL lub w przeglądarkach przestrzeń nazw z podwójnym ukośnikiem stanie się adresem URL względnym protokołu. Wynikowe żądanie może opuścić zamierzony origin i spowodować wstrzyknięcie adresu URL lub server-side request forgery.