PT-2026-129125
CVE-2026-118258
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
i18next-http-backend الإصدارات السابقة لـ 4.0.4
Description
تقوم الدالة
interpolateUrl بإدراج قيم اللغة ومساحة الاسم (namespace) غير المشفرة في قوالب loadPath أو addPath دون رفض فاصلات الاستعلام مثل علامة الربط (&)، أو علامة التساوي (=)، أو الفاصلة المنقوطة (;). عندما يضع القالب lng أو ns في سلسلة الاستعلام ويتحكم المهاجم في تلك القيمة، يمكنه تنفيذ حقن لسلسلة الاستعلام (تلوث معاملات HTTP). يسمح هذا للمهاجم بإضافة أو تجاوز المعاملات في طلبات الترجمة عبر المتصفح أو الخادم، مما قد يؤدي إلى كشف مساحات أسماء أو مستأجرين آخرين أو تغيير سلوك الخلفية من خلال استغلال موقع الشبكة وبيانات اعتماد التطبيق.التفاصيل الفنية تشمل:
- المعاملات المصابة:
lngوns. - الدالة المصابة:
interpolateUrl(). - المكونات المتأثرة: تكمن المشكلة في
lib/utils.jsحيث تفشل منطق التحقق في رفض الرموز&و=.
Recommendations
تحديث i18next-http-backend إلى الإصدار 4.0.4 أو أحدث.
كإجراء مؤقت، تجنب استخدام قوالب
loadPath أو addPath التي تضع {{lng}} أو {{ns}} ضمن سلسلة الاستعلام.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾