Veille sécuritéFrontend
P4Faible
Avec `escapeParameter` activé, Vue I18n échappait les valeurs de liste ou les valeurs nommées, mais pas les deux lorsque l’appel fournissait les deux types simultanément. La correction échappe désormais les deux ; mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5, ou éviter cette combinaison et le rendu HTML de valeurs non fiables.
JavaScriptVue.js
IdentifiantCVE-2026-118256
GravitéFaible
Exploitationnon connue / non déterminée
Correctifvue-i18n 11.4.14 et 12.0.0-alpha.5 ; versions corrigées correspondantes des paquets @intlify et petite-vue-i18n selon l’avis.
Source : GHSA-8rc2-428q-7ww3 — Vue I18n: escapeParameter does not escape named values when the same call also passes a list
Analyse technique
La branche de traitement des paramètres échappait les valeurs de liste ou les valeurs nommées, mais pas les deux ensemble. Les valeurs nommées non échappées pouvaient être insérées comme balisage ; l’exécution de script dépend aussi de la présence d’autres conditions décrites dans l’avis.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28 à 21:06:34Z, soit 23:06:34+02:00, dans la période retenue.
ImpactInsertion de balisage non échappé ; selon le rendu et les autres conditions décrites, cela peut permettre une XSS ou du contenu trompeur.
Versions affectéesvue-i18n, @intlify/core, @intlify/core-base, petite-vue-i18n et @intlify/vue-i18n-core : versions indiquées >= 9.x et < 11.4.14, ainsi que >= 12.0.0-alpha.1 et < 12.0.0-alpha.5 ; détails par paquet dans l’avis
Version corrigéevue-i18n 11.4.14 et 12.0.0-alpha.5 ; versions corrigées correspondantes des paquets @intlify et petite-vue-i18n selon l’avis.
ContournementNe pas transmettre simultanément des valeurs de liste et des valeurs nommées avec `escapeParameter` activé ; ne pas rendre avec v-html des traductions susceptibles de contenir des valeurs non fiables.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
Publication2026-10-28T23:06:34+02:00
Mise à jour2026-10-28T23:06:35+02:00
Action recommandée
Mettre à niveau vers 11.4.14 ou 12.0.0-alpha.5 selon la branche, et éviter la combinaison liste/valeurs nommées jusqu’à la mise à niveau.
Sources
Priorisation DFS : P4 · 2 source(s).