CVE-2026-118258— i18next-http-backend 查询参数注入漏洞
一分钟漏洞结论
影响对象
i18next i18next-http-backend
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
是 的一个后端层，用于在 Node.js、浏览器和 Deno 环境中加载翻译资源。在 4.0.4 版本之前， 函数会将未编码的语言（lng）和命名空间（ns）值直接插入到 或 模板中，且未拒绝使用 ampersand（&）、equals（=）或 semicolon（;）作为查询字符串分隔符。当模板将 或 置于查询字符串中，且攻击者能够控制这些值时，攻击者便可以在浏览器端或服务器端的翻译请求中添加或覆盖参数。这可能导致其他命名空间或租户的信息被泄露，或通过利用应用程序在网络中的位置及其凭证，改变后端行为。该漏洞是 C
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| i18next | i18next-http-backend | < 4.0.4 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-118258 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
i18next-http-backend: Query-parameter injection through & and = in lng when loadPath/addPath puts {{lng}} in the query string
来源: CVE Program / CVE List V5
Vulnerability Description
i18next-http-backend is a backend layer for i18next that loads translation resources in Node.js, browsers, and Deno. Prior to 4.0.4, interpolateUrl inserts unencoded language and namespace values into loadPath or addPath templates without rejecting ampersand (&), equals (=), or semicolon (;) query separators. When a template places lng or ns in the query string and an attacker controls that value, the attacker can add or override parameters on browser or server-side translation requests, potentially exposing other namespaces or tenants or changing backend behavior through the application's network position and credentials. This vulnerability is the result of an incomplete fix for CVE-2026-41691. This issue is fixed in version 4.0.4.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
输出中的特殊元素转义处理不恰当(注入)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| i18next | i18next-http-backend | < 4.0.4 | - |
|
二、漏洞 CVE-2026-118258 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-118258 的情报信息
请登录查看更多情报信息。
CVE-2026-118258 其他参考 (3)
-
https://github.com/i18next/i18next-http-backend/releases/tag/v4.0.4 x_refsource_MISC