Traversée de chemin dans i18next-http-backend (CVE-2026-41691)
Résumé
Traversée de chemin dans i18next-http-backend (CVE-2026-41691). Risque d'opérations non autorisées ou de divulgation. Exploitable via lng. Atténuation : mise à jour vers 3.0.5 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Copilot said: i18nextify is a JavaScript library that adds
i18nextify is a JavaScript library that adds website internationalization via a script tag, without source code changes. Versions prior to 3.0.5 interpolate the lng and ns values directly into the configured loadPath / addPath URL template without any encoding, validation, or path sanitisation. When an application exposes the language-code selection to user-controlled input (the default — i18next-browser-languagedetector reads ?lng= query params, cookies, localStorage, and request headers), an attacker can inject characters that change the structure of the outgoing request URL. This is a single URL-injection vulnerability. The attacker-controlled value is neutralised before it is used as part of an output URL string; the attack shape covers both path traversal and broader URL-structure injection — both are closed by the one interpolateUrl sanitisation fix. This issue has been fixed in version 3.0.5. If users cannot upgrade immediately, they can work around the issue by sanitising lng / ns before they reach i18next (strip .., /, , ?, #, %, whitespace, and control characters; cap the length).
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-41691 a été découverte dans i18next-http-backend.
Des attaquants peuvent cibler un point d'entrée spécifique comme lng à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.5/10.
Action : mettez à jour i18next-http-backend vers 3.0.5 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « i18next-http-backend CVE-2026-41691 » sur le site de l'éditeur.
CVE-2026-41691 (i18next-http-backend) — CWE-22 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : lng / loadPath / addPath / localStorage
Correctif : 3.0.5 — appliquer immédiatement
Contournement : No workaround short of upgrading.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une traversée de chemin (CWE-22) affecte i18next-http-backend. Les attaquants atteignent le code vulnérable via lng sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de i18next-http-backend. Surface d'attaque : lng / loadPath / addPath / localStorage.
Gravité : Moyenne (CVSS 6.5/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 3.0.5.
Contournement : No workaround short of upgrading.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'i18next-http-backend' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
i18next-http-backendを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
No workaround short of upgrading.パッチが適用されるまでの応急処置として、No workaround short of upgrading. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade i18next-http-backend to 3.0.5ステージング環境で 3.0.5 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-41691 node-i18next-http-backend
Références
- advisory github.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- web github.com