CVE-2026-41683
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
i18next-http-middleware przed wersją 3.9.3 umożliwia wstrzykiwanie kontrolowanych przez użytkownika wartości językowych do nagłówka odpowiedzi Content-Language, co może prowadzić do ataków typu CRLF. Problem ten został naprawiony w wersji 3.9.3.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które wykorzystują wstrzyknięte sekwencje CRLF, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi w odpowiedziach HTTP.
Rekomendacja
Zaleca się aktualizację i18next-http-middleware do wersji 3.9.3 lub nowszej, aby usunąć tę podatność.
Inne podatności w i18next-http-middleware
Zobacz wszystkie- CVE-2026-48714Krytyczne
W wersjach przed 3.9.7 biblioteka i18next-http-middleware nie blokowała wariantów kluczy z kropkami, takich jak '__proto__.polluted', co prowadziło do możliwości zdalnego zanieczyszczenia prototypu w aplikacjach korzystających z i18next-fs-backend w wersji ≤ 2.6.5.
- CVE-2026-48713Krytyczne
Wersje przed 2.6.6 są podatne na zanieczyszczenie prototypu poprzez specjalnie skonstruowane ciągi kluczy brakujących, co może prowadzić do nieautoryzowanego zapisu właściwości na globalnym obiekcie prototypu.
- CVE-2026-42353Wysokie
i18next-http-middleware przed wersją 3.9.3 przekazywał wartości lng i ns kontrolowane przez użytkownika bez odpowiedniej sanitizacji, co mogło prowadzić do ataków typu path traversal lub SSRF.
Oryginalny opis (angielski, źródło NVD)
i18next-http-middleware is a middleware to be used with Node.js web frameworks like express or Fastify and also for Deno. Prior to version 3.9.3, i18next-http-middleware wrote user-controlled language values into the Content-Language response header after passing them through utils.escape(), which is an HTML-entity encoder that does not strip carriage return, line feed, or other control characters. When the application used an older i18next (< 19.5.0) that still exercised the backward-compatibility fallback at LanguageDetector.js:100 or otherwise produced a raw detected value, CRLF sequences in the attacker-controlled lng parameter reached res.setHeader('Content-Language', ...) verbatim. This issue has been patched in version 3.9.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS