CVE-2026-48714: i18next-http-middleware: poluição de protótipo no missingKeyHandler via chaves com pontos
O missingKeyHandler do i18next-http-middleware anterior à 3.9.7 bloqueia chaves literais relacionadas a protótipos, mas não variantes com pontos, que alguns backends downstream dividem e gravam em Object.prototype. O registro descreve exploração direta quando o handler é exposto a entradas não confiáveis e o i18next-fs-backend 2.6.5 ou anterior é usado. A correção é atualizar para a 3.9.7, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-48714 afeta o missingKeyHandler do i18next-http-middleware, um middleware usado com frameworks do Node.js como express e Fastify, e também com Deno. A fraqueza é classificada como CWE-1321 (Poluição de Protótipo). Segundo o registro, o handler rejeitava as chaves literais __proto__, constructor e prototype, mas não rejeitava variantes com pontos desses nomes.
Impacto
O registro informa que backends downstream que dividem a string de chave ausente pelo keySeparator configurado podem repassar essas chaves a uma rotina de definição de caminho sem proteção, que grava em Object.prototype. Conforme a aplicação hospedeira, o registro cita possíveis efeitos: falhas, comportamento incorreto de traduções, envenenamento de configuração ou contornos de verificações de segurança baseadas em propriedades. A pontuação base CVSS 3.1 de 9,1 é listada pelo CNA do GitHub e por um segundo provedor, com impacto alto em integridade e disponibilidade e sem impacto em confidencialidade no vetor.
Produtos e versões afetadas
- i18next-http-middleware: anteriores à 3.9.7 (conforme as entradas de afetados do registro).
- i18next-fs-backend: a versão 2.6.5 e anteriores é citada no registro como backend downstream que divide strings de chave ausente da forma afetada.
- O registro observa que outros backends downstream que dividem a string da mesma forma podem ser semelhantemente afetados, mas não os nomeia.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, e o registro mostra valor de exploração none na SSVC. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0,00657, com percentil de 0,50859, que são estimativas e não evidência de exploração.
Correção e mitigação
- Atualize o i18next-http-middleware para a 3.9.7 ou posterior, conforme o registro. O commit de correção é referenciado no registro.
- Se não for possível atualizar imediatamente, não exponha o missingKeyHandler a usuários não confiáveis; coloque-o atrás de autenticação ou remova a rota.
- Adicione um filtro do corpo da requisição antes do handler que rejeite chaves de nível superior contendo esses nomes relacionados a protótipos após a divisão pelo keySeparator configurado. Trata-se de medida defensiva descrita no registro.
- Desative a persistência de chaves ausentes (saveMissing definido como false) ao aceitar escritas de entradas não confiáveis.
- Verifique se algum backend downstream em uso divide as chaves ausentes da mesma forma, já que o registro indica que outros podem ser afetados.
Orientações de detecção
- Revise logs de aplicação e de proxy em busca de corpos de requisição incomuns enviados à rota de chaves ausentes, especialmente chaves com nomes relacionados a protótipos ou com separadores de ponto.
- Monitore propriedades inesperadas em protótipos de objetos nativos, além de falhas inexplicáveis e anomalias de tradução após requisições a essa rota.
- Mantenha um inventário das aplicações que usam i18next-http-middleware e i18next-fs-backend, com suas versões, para avaliar a exposição rapidamente.
Limitações das informações disponíveis
O registro não detalha além do i18next-fs-backend 2.6.5 e anteriores o conjunto exato de backends downstream afetados. Não descreve as aplicações hospedeiras em que o impacto foi confirmado e não inclui prova de conceito nem verificação independente. O registro indica uma data EPSS de 2026-10-23, sem explicação adicional. Também não consta se a 3.9.7 cobre integralmente todas as variantes downstream.
Perguntas frequentes
Qual é a fraqueza principal da CVE-2026-48714?
Segundo o registro, o handler bloqueava chaves literais relacionadas a protótipos, mas não variantes com pontos, e alguns backends downstream podiam gravar essas chaves em Object.prototype.
Qual versão corrige o problema?
O registro informa que o problema foi corrigido na versão 3.9.7 do i18next-http-middleware.
Há exploração confirmada?
O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.