Średnia

Cross-Site Scripting in i18next

Ujawniono: 24.07.2018
Aktualizacja: 11.10.2026 10:22

Affected versions of i18next may fail to sanitize user input when certain configuration options are used. When using the .init method, passing interpolation options without passing an escapeValue will default to undefined rather than the assumed true.

Proof of Concept

var init = i18n.init({
  interpolation: {
    prefix: "__",
    suffix: "__",
    escapeValue: true
  }
}, function(){
  var test = i18n.t('__firstName__ __lastName__', {
        firstName: 'Bob',
        lastName: '["foo","bar"]',
  });
  console.log(test);
});

When escapeValue is explicitly passed, the result of test is:

html

&lt;script&gt;alert(1)&lt;&#x2F;script&gt; Johnson

This is supposed to be the default. However, if escapeValue is not included, the result is the unescaped string:

html

<script>alert(1)</script> Johnson

Recommendation

Update to version 3.4.4 or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	i18next	>= 2.0.0, < 3.4.4	3.4.4

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-79
Platforma: npm
Paczka: i18next
Ujawniono: 24.07.2018
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-cmh5-qc8w-xvcq - CC BY 4.0

Historia podatności: i18next

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 07.2018 11.2018
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 2

Ujawnienia w latach

2018: 2
2019: 0
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

09.11.2018

Cross-Site Scripting in i18next

Średnia · 6.1 CVE-2017-16008 < 1.10.3 1.10.3
24.07.2018

Cross-Site Scripting in i18next ten wpis

Średnia · 6.1 CVE-2017-16010 >= 2.0.0, < 3.4.4 3.4.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację