CVE-2026-41683

i18next-http-middleware, express və ya Fastify kimi Node.js veb freymvorkları ilə, həmçinin Deno üçün istifadə edilən bir middleware-dir. Versiya 3.9.3-dən əvvəl i18next-http-middleware, istifadəçi tərəfindən idarə olunan dil dəyərlərini utils.escape() funksiyasından keçirdikdən sonra Content-Language cavab başlığına yazırdı; bu funksiya isə carriage return, line feed və ya digər idarəetmə simvollarını silməyən bir HTML-entity enkoderidir. Tətbiq hələ də LanguageDetector.js:100 hissəsində geri uyğunluq fallback-ni tətbiq edən köhnə i18next (< 19.5.0) versiyasından istifadə etdikdə və ya başqa şəkildə xam aşkarlanmış dəyər yaratdıqda, hücumçu tərəfindən idarə olunan lng parametrindəki CRLF ardıcıllıqları olduğu kimi res.setHeader('Content-Language', ...) hissəsinə çatdırılırdı. Bu problem 3.9.3 versiyasında aradan qaldırılmışdır.