Vulnerabilidades do Npm I18next-http-backend

Copilot said: i18nextify é uma biblioteca JavaScript que adiciona internacionalização de sites por meio de uma tag script, sem alterações no código-fonte. Versões anteriores à 3.0.5 interpolam os valores de lng e ns diretamente no modelo de URL configurado em loadPath / addPath, sem qualquer codificação, validação ou sanitização de caminho. Quando a aplicação expõe a seleção de código de idioma a entradas controladas pelo usuário (o padrão — i18next-browser-languagedetector lê parâmetros de consulta ?lng=, cookies, localStorage e cabeçalhos de requisição), um atacante pode injetar caracteres que alteram a estrutura da URL de requisição de saída. Esta é uma única vulnerabilidade de injeção de URL. O valor controlado pelo atacante é neutralizado antes de ser usado como parte de uma string de URL de saída; o formato do ataque abrange tanto travessia de caminho quanto injeção mais ampla na estrutura da URL — ambos são corrigidos pela única correção de sanitização em interpolateUrl. Este problema foi corrigido na versão 3.0.5. Se os usuários não puderem atualizar imediatamente, podem contornar o problema sanitizando lng / ns antes que cheguem ao i18next (remover .., /, \, ?, #, %, espaços em branco e caracteres de controle; limitar o tamanho).