CVE-2026-41885

i18next-locize-backend; Node.js'de, tarayıcıda ve Deno için kullanılabilen locize.com için basit bir i18next backend'idir. Versiyon 9.0.2 öncesinde i18next-locize-backend; lng, ns, projectId ve version değerlerini herhangi bir yol bileşeni doğrulaması veya kodlama yapmadan doğrudan yapılandırılmış loadPath / privatePath / addPath / updatePath / getLanguagesPath URL şablonlarına yerleştirmektedir. Bir uygulama bu değerlerden herhangi birini kullanıcı kontrollü girdilere açtığında (i18next-browser-languagedetector aracılığıyla ?lng= / ?ns= sorgu parametreleri, çerezler, istek başlıkları veya URL tabanlı bir projectId), özel olarak hazırlanmış bir değer giden istek URL'sinin yapısını değiştirebilir. lib/index.js dosyasındaki etkilenen çağrı noktaları (yama öncesi): interpolate() yardımcı fonksiyonu beş farklı URL oluşturma noktasında kullanılmaktadır — _readAny/read (private için satır 415, public için 426), getLanguages (satırlar 271 ve 296) ve eksik anahtar ile güncelleme POST yolları için writePage (satırlar 616 ve 622). lib/utils.js içindeki interpolate yardımcı fonksiyonu, ham değerleri herhangi bir kodlama yapmadan değiştirmektedir. Bu sorun versiyon 9.0.2 ile düzeltilmiştir.