CVE-2026-41886

locize, kodu ve i18n kurulumunu birbirine bağlayan bir yerelleştirme platformudur. Versiyon 4.0.21 öncesinde, locize istemci SDK'sı, event.origin değerini doğrulamadan kayıtlı dahili işleyicilere (editKey, commitKey, commitKeys, isLocizeEnabled, requestInitialize, …) yönlendirme yapan bir window.addEventListener("message", …) işleyicisi kaydeder. src/api/postMessage.js dosyasındaki yama öncesi dinleyici, yönlendirmeyi event.data.sender === "i18next-editor-frame" koşuluna bağlar; ancak bu değer tarayıcı tarafından zorunlu kılınan origin kısmında değil, saldırgan tarafından kontrol edilen mesaj yükünün (payload) içinde yer alır. locize etkinleştirilmiş bir ana bilgisayarı gömebilen veya onun tarafından gömülebilen herhangi bir web sayfası —üçüncü taraf bir sayfadaki bir iframe, window.open ile açılmış bir kurban veya alt çerçeveye erişen bir üst çerçeve— özel olarak hazırlanmış bir postMessage göndererek dahili işleyicileri tetikleyebilir. Bu sorun versiyon 4.0.21 ile düzeltilmiştir.