🇰🇷 한글 설명
i18next-http-backend는 Node.js, 브라우저, Deno에서 번역 리소스를 로드하는 i18next용 백엔드 계층입니다. 4.0.4 이전 버전에서는 interpolateUrl이 언어(lng) 및 네임스페이스(ns) 값을 인코딩하지 않고 loadPath 또는 addPath 템플릿에 삽입하며, &, =, ; 같은 쿼리 구분자를 거부하지 않습니다. 이는 CVE-2026-41691 수정이 불완전하여 발생한 문제입니다.
💡 쉬운 설명
번역 파일을 요청하는 주소에 특수 문자를 넣어 추가 매개변수를 끼워 넣을 수 있는 취약점입니다. 공격자가 다른 네임스페이스나 테넌트의 데이터를 노출시키거나 백엔드 동작을 바꿀 수 있습니다.
🇺🇸 원문 (English)
i18next-http-backend is a backend layer for i18next that loads translation resources in Node.js, browsers, and Deno. Prior to 4.0.4, interpolateUrl inserts unencoded language and namespace values into loadPath or addPath templates without rejecting ampersand (&), equals (=), or semicolon (;) query separators. When a template places lng or ns in the query string and an attacker controls that value, the attacker can add or override parameters on browser or server-side translation requests, potentially exposing other namespaces or tenants or changing backend behavior through the application's network position and credentials. This vulnerability is the result of an incomplete fix for CVE-2026-41691. This issue is fixed in version 4.0.4.
📍 영향받는 시스템
i18next-http-backend 4.0.4 미만 버전을 사용하는 Node.js, 브라우저, Deno 애플리케이션
⚔️ 공격 벡터
공격자가 제어하는 lng 또는 ns 값에 &, =, ; 문자를 포함시켜 번역 요청 URL의 쿼리 파라미터를 추가하거나 덮어씀
🛡️ 대응 방법
i18next-http-backend를 4.0.4 이상으로 업그레이드하고, 사용자 입력이 lng/ns 값으로 쓰이지 않도록 검증
🔧 검증 코드
출력된 버전이 4.0.4 미만이면 취약하며, 4.0.4 이상이면 수정된 버전입니다. 출력이 없으면 해당 패키지가 설치되어 있지 않습니다.
npm ls i18next-http-backend 2>/dev/null | grep i18next-http-backend
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server