p PatchFirst

CVE-2026-118256

CVE-2026-118256 · Vue I18n: `escapeParameter` does not escape named values when the same call also passes a list

CVSS 2.1 · Низкий · EPSS 0,5% · Публичный эксплойт · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls vue-i18n
npm ls @intlify/core
npm ls @intlify/core-base

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания vue-i18n и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Vue I18n is the internationalization plugin for Vue.js. From 9.0.0-beta.5 until 11.4.14 and 12.0.0-alpha.5, enabling escapeParameter, called escapeParameterHtml in the Legacy API, does not escape named interpolation values when the same translation call supplies both list and named values because escapeParams() processes only the list branch. Applications that render translations as HTML and pass untrusted named values with a list can insert attacker-controlled markup, including phishing links, forms, and layout changes, and can permit script execution when combined with the srcdoc sanitizer bypass or on releases without the sanitizer. This issue is fixed in versions 11.4.14 and 12.0.0-alpha.5.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • vue-i18n

    Версии
    • >= 9.0.0-beta.5, < 11.4.14: Затронуто
    • >= 12.0.0-alpha.1, < 12.0.0-alpha.5: Затронуто

    Нет опубликованного исправления

  • vue-i18n npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.0.0-beta.5, < 11.4.14

    Обновитесь до 11.4.14

  • vue-i18n npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 12.0.0-alpha.1, < 12.0.0-alpha.5

    Обновитесь до 12.0.0-alpha.5

  • @intlify/core npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.0.0-beta.10, < 11.4.14

    Обновитесь до 11.4.14

  • @intlify/core npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 12.0.0-alpha.1, < 12.0.0-alpha.5

    Обновитесь до 12.0.0-alpha.5

  • @intlify/core-base npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.0.0-beta.12, < 11.4.14

    Обновитесь до 11.4.14

  • @intlify/core-base npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 12.0.0-alpha.1, < 12.0.0-alpha.5

    Обновитесь до 12.0.0-alpha.5

  • petite-vue-i18n npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.2.0-alpha.7, < 11.4.14

    Обновитесь до 11.4.14

  • petite-vue-i18n npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 12.0.0-alpha.1, < 12.0.0-alpha.5

    Обновитесь до 12.0.0-alpha.5

  • @intlify/vue-i18n-core npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.2.0-alpha.7, < 11.4.14

    Обновитесь до 11.4.14

  • @intlify/vue-i18n-core npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 12.0.0-alpha.1, < 12.0.0-alpha.5

    Обновитесь до 12.0.0-alpha.5

Первоисточники

Проверьте свой сервер →