Veille sécuritéBackend & données
P4Faible
Dans i18next-http-backend avant la version 4.0.4, des valeurs contrôlées de langue ou d’espace de noms pouvaient injecter des paramètres dans les requêtes de chargement de traductions lorsque le modèle les plaçait dans la chaîne de requête. Le problème, présenté comme une correction incomplète de CVE-2026-41691, est corrigé en version 4.0.4.
Node.js
IdentifiantCVE-2026-118258
GravitéFaible
Exploitationnon connue / non déterminée
Correctif4.0.4
Source : NVD — CVE-2026-118258
Analyse technique
Des séparateurs de paramètres non encodés (&, = ou 😉 dans les valeurs interpolées pouvaient modifier des requêtes de traduction côté navigateur ou serveur.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-28T19:17:30.360Z, dans la période demandée. La fiche a été mise à jour le 2026-10-29, après la borne de fin; cette mise à jour n’est pas retenue comme événement de la période.
ImpactModification des paramètres de requêtes de traduction, avec risque d’exposition d’espaces de noms ou de changement du comportement du backend selon la configuration.
Versions affectéesi18next-http-backend < 4.0.4
Version corrigée4.0.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
Publication2026-10-28T19:17:30.360Z
Action recommandée
Mettre à niveau i18next-http-backend vers la version 4.0.4 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).