Dans i18next, `deepExtend` pouvait corrompre des fonctions intégrées partagées et provoquer un déni de service lorsque des données contrôlées par un attaquant étaient fusionnées avec `deep: true` et `overwrite: true`. Le défaut concerne les versions antérieures à 26.3.4; mettre à jour vers cette version ou une version ultérieure.
Source : NVD — CVE-2026-63402
Analyse technique
L’exploitation nécessite que l’application transmette des ressources non fiables à `addResourceBundle` avec `deep` et `overwrite` tous deux à true; les appels usuels sans ces options ne sont pas concernés.
Impact, versions et correctif
Action recommandée
Mettre à jour i18next vers 26.3.4 ou une version ultérieure; éviter de fusionner des ressources non fiables avec les deux options `deep` et `overwrite` activées.
Sources
Priorisation DFS : P4 · 1 source(s).