CVE-2026-41691

إصدارات i18next-http-backend الأقدم من 3.0.5

تقوم إصدارات المكتبة بإدراج قيمتي lng وns مباشرةً في قوالب عناوين URL المُعدة مسبقًا لـ loadPath أو addPath دون تشفير أو التحقق من الصحة أو تنقية المسار. وعندما يكون اختيار رمز اللغة معرضًا لمدخلات يتحكم فيها المستخدم — مثل معلمات الاستعلام أو ملفات تعريف الارتباط أو localStorage أو رؤوس الطلبات — يمكن للمهاجم إدخال أحرف لتغيير بنية عنوان URL للطلب الصادر. قد يؤدي ذلك إلى اختراق المسار، وحقن سلسلة الاستعلام، واقتطاع الأجزاء. وفي الحالات الشديدة، قد يؤدي ذلك إلى تزوير الطلب من جانب الخادم (SSRF) إذا كان loadPath يستخدم عناوين URL داخلية أو ذات مخطط ملفات، أو تجاوز التفويض القائم على المسار. بالإضافة إلى ذلك، كان البرنامج عرضة لتزوير السجلات عبر أحرف التحكم في lng أو ns، وتسرب بيانات اعتماد المصادقة الأساسية (Basic-auth) في استدعاءات الأخطاء، وتضخيم تلوث النماذج الأولية (prototype pollution) بسبب استخدام حلقات for...in في addQueryString وcustomHeaders.

التحديث إلى الإصدار 3.0.5.

كحل مؤقت، قم بتنقية قيم lng وns قبل وصولها إلى المكتبة عن طريق إزالة ..، /، ``، ?، #، %، والمسافات البيضاء، وأحرف التحكم، وتحديد الحد الأقصى لطول المدخلات.