CVE-2026-41886

locize kodu və i18n sazlamalarını birləşdirən lokallaşdırma platformasıdır. Versiya 4.0.21-dən əvvəl locize client SDK-sı, event.origin-i yoxlamadan daxili qeydiyyatdan keçmiş idarəedicilərə (editKey, commitKey, commitKeys, isLocizeEnabled, requestInitialize, …) yönləndirmə edən window.addEventListener("message", …) idarəedicisini qeydiyyata alır. src/api/postMessage.js faylındakı yamadan əvvəlki dinləyici, yönləndirməni event.data.sender === "i18next-editor-frame" şərti ilə məhdudlaşdırır — lakin bu dəyər brauzer tərəfindən təmin edilən origin-də deyil, hücumçunun nəzarətində olan mesaj yükündə yerləşir. locize aktiv edilmiş hostu daxilinə sala bilən və ya onun tərəfindən daxil edilə bilən hər hansı veb səhifə — üçüncü tərəf səhifəsindəki bir iframe, window.open vasitəsilə açılmış qurban pəncərəsi və ya aşağıya müraciət edən valideyn freymi — hazırlanmış postMessage göndərə və daxili idarəediciləri tetikləyə bilər. Bu problem versiya 4.0.21-də aradan qaldırılıb.