CVE-2026-41693

i18next-fs-backend, Node.js və Deno üçün i18next üçün backend qatıdır və tərcümələri fayl sistemindən yükləyir. 2.6.4 versiyasından əvvəl i18next-fs-backend lng və ns seçimlərini birbaşa konfiqurasiya edilmiş loadPath / addPath şablonlarına əvəz edir və sonra yaranan faylı diskdən oxuyur / yazır. İnterpolyasiya kodlaşdırılmır və yoxlanılmır, buna görə də .., yol ayırıcısı, idarəetmə simvolu, prototip açarı və ya sadəcə gözlənilmədən uzun sətir ehtiva edən hazırlanmış lng və ya ns dəyəri bu dəyərlərdən hər hansı birinə təsir edə bilən hücumçuya nəzərdə tutulan locale qovluğundan kənarda faylları oxumağa və ya üzərinə yazmağa imkan verir. lng / ns etibarsız girişdən əldə edildikdə (i18next-http-middleware kimi HTTP qatının arxasındakı sorğu ilə əlaqəli i18next nüsxələri və ya son istifadəçiyə query string, cookie və ya header vasitəsilə dili seçməyə imkan verən hər hansı framework), ?lng=../../../../etc/passwd kimi tək bir sorğu backendin həmin yolu oxumağa cəhd etməsinə səbəb olur. Bu problem 2.6.4 versiyasında düzəldilmişdir.