CVE-2026-55451

gettext-converter, JavaScript için gettext kaynak dönüştürme araçları sağlar. 1.3.3 sürümünden önce, lib/js2i18next.js içindeki js2i18next(), iç içe geçmiş çeviri anahtarlarını varsayılan değeri iki kare işaretinden oluşan options.keyseparator kullanarak ayırır ve her bir segmenti __proto__, constructor veya prototype ifadelerini reddetmeden dinamik bir nesne anahtarı olarak kullanır. Bir uygulama güvenilmeyen PO veya i18next çeviri verilerini dönüştürdüğünde, bir __proto__ segmenti Object.prototype'ı iç içe yazma hedefi olarak belirler ve Object.assign saldırgan tarafından kontrol edilen çevrilmiş özellikleri süreç genelindeki prototip üzerine yazar. Ortaya çıkan prototype pollution, hizmet reddine neden olabilir ve uygulamaya bağlı takip saldırılarını mümkün kılabilir. Bu sorun 1.3.3 sürümünde düzeltilmiştir.