CVE-2026-105800

i18next-http-backend, Node.js, brauzerlər və Deno mühitlərində tərcümə resurslarını yükləyən i18next üçün backend təbəqəsidir. 4.0.2 versiyasından əvvəl, birbaşa {{lng}} və ya {{ns}} ilə başlayan xüsusi loadPath və ya addPath daxilinə yerləşdirilən hücumçu tərəfindən idarə olunan dil və ya namespace dəyərləri, iki nöqtəyə əsaslanan girişin mütləq URL-ə çevrilməsinə və ya brauzerlərdə iki slash-li namespace-in protokoldan asılı olmayan URL-ə çevrilməsinə səbəb ola bilər. Nəticədə yaranan sorğu nəzərdə tutulan mənbəni tərk edə bilər və URL inyeksiyasına və ya server tərəfli sorğu saxtakarlığına (SSRF) yol aça bilər. Standart /locales/{{lng}}/{{ns}}.json şablonu və önündə yol və ya mənbə olan şablonlar buna təsir etmir, çünki yer tutucu (placeholder) URL-in strukturunun əvvəlində yerləşmir. Bu problem 4.0.2 versiyasında düzəldilmişdir.