CVE-2026-41683

i18next-http-middleware; express veya Fastify gibi Node.js web framework'leri ve ayrıca Deno ile kullanılmak üzere tasarlanmış bir ara katman yazılımıdır. Versiyon 3.9.3 öncesinde i18next-http-middleware, kullanıcı kontrollü dil değerlerini, satır başı (carriage return), satır besleme (line feed) veya diğer kontrol karakterlerini temizlemeyen bir HTML varlık kodlayıcısı olan utils.escape() üzerinden geçirdikten sonra Content-Language yanıt üstbilgisine yazmaktaydı. Uygulama, LanguageDetector.js:100 konumunda hala geriye dönük uyumluluk yedeklemesini kullanan eski bir i18next (< 19.5.0) sürümünü kullandığında veya başka bir şekilde ham bir tespit edilen değer ürettiğinde, saldırgan kontrollü lng parametresindeki CRLF dizileri res.setHeader('Content-Language', ...) kısmına aynen ulaşıyordu. Bu sorun versiyon 3.9.3 ile düzeltilmiştir.