CVE-2026-118257

Nome do Software Vulnerável e Versões Afetadas Vue I18n versões 11.1.10 through 11.4.13 Vue I18n versões 12.0.0-alpha.4 through 12.0.0-alpha.4 Vue I18n versão 9.14.5 Vue I18n versão 10.0.8

Description Quando escapeParameter está habilitado e as traduções são renderizadas como HTML via v-html, a função sanitizeTranslatedHtml() não lida adequadamente com o atributo srcdoc de elementos <iframe>. Embora o sanitizador escape a marcação e neutralize manipuladores de eventos, os navegadores decodificam essas referências de caracteres ao analisar o valor de srcdoc como um documento HTML aninhado de mesma origem. Isso permite que parâmetros controlados por atacantes ou conteúdo de tradução colocado em srcdoc executem scripts arbitrários na origem da aplicação, resultando em Cross-Site Scripting (XSS) baseado em DOM. Este problema pode ocorrer se valores não confiáveis forem passados como parâmetros para srcdoc, se as mensagens de tradução contiverem HTML não confiável ou se valores nomeados não confiáveis forem usados juntamente com uma lista.

Recommendations Atualizar para a versão 11.4.14 ou posterior. Atualizar para a versão 12.0.0-alpha.5 ou posterior. Migrar para a versão 11 para as versões 9.14.5 e 10.0.8, pois não são mais suportadas. Evite renderizar traduções que possam conter conteúdo não confiável usando v-html e utilize interpolação de componentes em seu lugar. Não inclua o atributo srcdoc em mensagens de tradução e evite passar valores para ele.