CVE-2026-41691: i18next-http-backend: travessia de caminho e injeção de URL via lng/ns sem sanitização
As versões do i18next-http-backend anteriores à 3.0.5 inserem os valores de lng e ns em modelos de URL de loadPath e addPath sem codificação, validação ou sanitização de caminho, o que possibilita travessia de caminho e injeção na estrutura da URL (CWE-22). A NVD classifica a severidade como 9.1 (crítica) e o GitHub como 6.5. O registro não consta no catálogo CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A fragilidade está relacionada à forma como o i18next-http-backend constrói URLs de recursos a partir dos valores lng (idioma) e ns (namespace). Esses valores são colocados nos modelos loadPath e addPath sem codificação, validação ou sanitização de caminho, de modo que entradas que um atacante pode influenciar podem alterar a estrutura das requisições de saída. O registro classifica a fragilidade como CWE-22 (Travessia de Caminho).
Impacto
- Requisições podem ser direcionadas a caminhos ou estruturas de URL não pretendidos na origem alvo. Trata-se de uma inferência a partir da descrição.
- O vetor da NVD indica alto impacto em confidencialidade e integridade e nenhum impacto em disponibilidade.
- As consequências reais dependem de como a aplicação expõe a seleção de idioma e do que o backend serve nos caminhos resultantes. As fontes não descrevem isso.
Produtos e versões afetadas
- Produto: I18next I18next-http-backend.
- Afetado: versões anteriores à 3.0.5.
- Corrigido em: 3.0.5.
- A descrição menciona o i18nextify, nome que não aparece na lista de produtos afetados. As fontes não explicam essa relação.
Status de exploração
- O registro indica que a CVE não consta no catálogo CISA KEV.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- O registro SSVC indica exploração como none e automatizável como yes. A probabilidade EPSS é 0.00313, com percentil de 0.23058.
Correção e mitigação
- Atualize o i18next-http-backend para a versão 3.0.5 ou posterior, conforme o aviso de segurança do GitHub e o commit de correção.
- Se a atualização imediata não for possível, valide lng e ns contra uma lista de códigos de idioma e namespaces esperados antes que cheguem ao i18next. Rejeite ou normalize valores com separadores de caminho, caracteres de consulta ou fragmento, sinais de percentual, espaços em branco, caracteres de controle ou tamanho excessivo. O aviso descreve isso como uma solução temporária.
- Revise se a seleção de idioma obtida de parâmetros de consulta, cookies, armazenamento ou cabeçalhos é exposta a usuários não confiáveis.
Orientações de detecção
- Registre e revise requisições cujos parâmetros de idioma ou namespace contenham caracteres inesperados ou tamanho incomum.
- Monitore requisições de recursos para caminhos inesperados sob a origem da aplicação.
Limitações das informações disponíveis
- A NVD atribui 9.1 e o GitHub atribui 6.5. O registro não explica a diferença.
- A lista de versões afetadas contém duas expressões para o mesmo intervalo.
- O registro não descreve ataques reais nem material público de prova de conceito.
- Esta análise não revisou o conteúdo do commit de correção. A descrição da correção vem do registro.
- A relação entre o i18nextify e o i18next-http-backend não é estabelecida pelo registro.
Perguntas frequentes
Qual versão corrige a CVE-2026-41691?
O registro indica que o problema foi corrigido no i18next-http-backend 3.0.5. As versões anteriores à 3.0.5 são afetadas.
Há exploração conhecida dessa vulnerabilidade?
O registro não a lista no CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00313.
O que fazer se não for possível atualizar imediatamente?
Valide lng e ns contra valores esperados antes que cheguem ao i18next e limite o tamanho deles. O aviso descreve isso como uma solução temporária.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.