CVE-2026-55451

gettext-converter JavaScript üçün gettext resurslarının çevrilməsi utilitləri təmin edir. 1.3.3 versiyasından əvvəl lib/js2i18next.js faylındakı js2i18next() funksiyası iç-içə tərcümə açarlarını standart dəyəri iki say vəsət işarəsindən ibarət olan options.keyseparator vasitəsilə bölür və hər bir seqmenti __proto__, constructor və ya prototype elementlərini rədd etmədən dinamik obyekt açarı kimi istifadə edir. Tətbiq etibarsız PO və ya i18next tərcümə məlumatlarını çevirdikdə, __proto__ seqmenti Object.prototype-u iç-içə yazı hədəfi kimi müəyyən edir və Object.assign hücumçu tərəfindən idarə olunan tərcümə olunmuş xüsusiyyətləri proses səviyyəli prototipə yazır. Nəticədə yaranan prototip çirklənməsi (prototype pollution) xidmətdən imtinaya səbəb ola bilər və tətbiqdən asılı olaraq növbəti hücumları mümkün edə bilər. Bu problem 1.3.3 versiyasında düzəldilib.