CVE-2026-118258

Nome do Software Vulnerável e Versões Afetadas i18next-http-backend versões anteriores a 4.0.4

Description A função interpolateUrl insere valores de idioma e namespace não codificados nos templates loadPath ou addPath sem rejeitar separadores de consulta como e comercial (&), sinal de igual (=) ou ponto e vírgula (;). Quando um template coloca lng ou ns na string de consulta e um invasor controla esse valor, ele pode realizar a injeção de string de consulta (poluição de parâmetros HTTP). Isso permite que o invasor adicione ou substitua parâmetros em solicitações de tradução no navegador ou no servidor, potencialmente expondo outros namespaces ou locatários ou alterando o comportamento do backend ao utilizar a posição de rede e as credenciais da aplicação.

Detalhes técnicos incluem:

Recommendations Atualize o i18next-http-backend para a versão 4.0.4 ou posterior. Como solução temporária, evite usar templates loadPath ou addPath que coloquem {{lng}} ou {{ns}} dentro da string de consulta.