There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Copilot said: i18nextify is a JavaScript library that adds i18nextify is a JavaScript library that adds
    website internationalization via a script tag, without source code changes. Versions prior to 3.0.5
    interpolate the lng and ns values directly into the configured loadPath / addPath URL template without any
    encoding, validation, or path sanitisation. When an application exposes the language-code selection to
    user-controlled input (the default — i18next-browser-languagedetector reads ?lng= query params, cookies,
    localStorage, and request headers), an attacker can inject characters that change the structure of the
    outgoing request URL. This is a single URL-injection vulnerability. The attacker-controlled value is
    neutralised before it is used as part of an output URL string; the attack shape covers both path traversal
    and broader URL-structure injection — both are closed by the one interpolateUrl sanitisation fix. This
    issue has been fixed in version 3.0.5. If users cannot upgrade immediately, they can work around the issue
    by sanitising lng / ns before they reach i18next (strip .., /, \, ?, #, %, whitespace, and control
    characters; cap the length). (CVE-2026-41691)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Copilot 表示：i18nextify 是一個新增的 JavaScript 函式庫，i18nextify 是一個透過腳本標籤新增網站國際化的 JavaScript 函式庫，無需更改原始碼。之前 3.0.5 的版本會將 lng 和 ns 值直接插入設定的 loadPath / addPath URL 範本中，而不需要任何編碼、驗證或路徑清理。當應用程式將語言程式碼選取範圍公開給使用者控制的輸入 （預設的 i18next-browser-languagedetector 讀取 ？lng= 查詢參數、cookie、localStorage 和要求標頭） 時，攻擊者可以插入字元來變更傳出要求 URL 的結構。這是單一 URL 插入弱點。攻擊者控制的值在用作輸出 URL 字串的一部分之前會被無效化;攻擊形狀涵蓋路徑遍歷和更廣泛的 URL 結構插入，兩者都由一個 interpolateUrl 清理修復關閉。3.0.5 版已修正此問題。如果使用者無法立即升級，可以在達到 i18next 之前清理 lng / ns 來解決此問題 （strip ..， /， \， ？， #， %， 空格和控制字元，限制長度）。（CVE-2026-41691）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Copilot 表示：i18nextify 是一个 JavaScript 库，添加了 i18nextify 是一个 JavaScript 库，它通过脚本标签添加了网站国际化，无需更改源代码。之前 3.0.5 的版本会将 lng 和 ns 值直接插入配置的 loadPath / addPath URL 模板中，而不需要任何编码、验证或路径审查。当应用程序将语言代码选择暴露给用户控制的输入时（默认 i18next-browser-languagedetector 读取 ？lng= query params、cookies、localStorage 和请求标头）时，攻击者可注入更改传出请求 URL 结构的字符。这是单一 URL 注入漏洞。攻击者控制的值在被用作输出 URL 字符串的一部分之前会被中和;该攻击形态涵盖路径遍历和更广泛的 URL 结构注入，两者都由一个 interpolateUrl 审查补丁关闭。此问题已在 3.0.5 版本中修复。如果用户无法立即升级，他们可通过在达到 i18next 之前审查 lng / ns 来解决此问题（剥离 ..、/、\、？、#、% 空白和控制字符;封装长度）。（CVE-2026-41691）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Copilot 氏は次のように述べています: i18nextify は追加した JavaScript ライブラリです。i18nextify は、ソース コードを変更せずに、スクリプト タグを介して Web サイトの国際化を追加する JavaScript ライブラリです。3.0.5 より前のバージョンは、エンコーディング、検証、パスのサニタイズを行わずに、 lng および ns の値を構成済みの loadPath / addPath URL テンプレートに直接補間します。アプリケーションが言語コード選択をユーザー制御の入力に漏洩するとき(デフォルトの i18next-browser-languagedetector は ?lng= query params、cookie、localStorage、リクエストヘッダーを読み取る)、攻撃者が、送信リクエスト URL の構造を変更する文字を注入する可能性があります。これは、単一の URL インジェクションの脆弱性です。攻撃者が制御する値は、出力 URL 文字列の一部として使用される前に中和されます。攻撃形状は、パストラバーサルとより広範な URL 構造の注入の両方をカバーし、どちらも 1 つの interpolateUrl サニタイズ修正で閉じられています。この問題はバージョン 3.0.5で修正されています。ユーザーがすぐにアップグレードできない場合は、i18next に到達する前に lng/ns をサニタイズすることで回避策を講じることができます(..、/、\、?、#、%、空白、および制御文字、長さを制限)。(CVE-2026-41691)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Copilot said: i18nextify is a JavaScript library that adds i18nextify is a JavaScript library that adds     website internationalization via a script tag, without source code changes. Versions prior to 3.0.5     interpolate the lng and ns values directly into the configured loadPath / addPath URL template without any     encoding, validation, or path sanitisation. When an application exposes the language-code selection to     user-controlled input (the default  i18next-browser-languagedetector reads ?lng= query params, cookies,     localStorage, and request headers), an attacker can inject characters that change the structure of the     outgoing request URL. This is a single URL-injection vulnerability. The attacker-controlled value is     neutralised before it is used as part of an output URL string; the attack shape covers both path traversal     and broader URL-structure injection  both are closed by the one interpolateUrl sanitisation fix. This     issue has been fixed in version 3.0.5. If users cannot upgrade immediately, they can work around the issue     by sanitising lng / ns before they reach i18next (strip .., /, \, ?, #, %, whitespace, and control     characters; cap the length). (CVE-2026-41691)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
440726	SCA: security update for i18next-http-backend (GHSA-q89c-q3h5-w34g)	Tenable Cloud Security	SCA Checks	4/22/2026	7/2/2026	critical
440726	SCA: security update for i18next-http-backend (GHSA-q89c-q3h5-w34g)	Tenable Self-Hosted Container Security	SCA Checks	4/22/2026	7/2/2026	critical
364569	Linux Distros 未修補弱點：CVE-2026-41691	Nessus	Misc.	10/11/2026	10/12/2026	critical
364569	Linux Distros 未修补的漏洞：CVE-2026-41691	Nessus	Misc.	10/11/2026	10/12/2026	critical
364569	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41691	Nessus	Misc.	10/11/2026	10/12/2026	critical
364569	Linux Distros Unpatched Vulnerability : CVE-2026-41691	Nessus	Misc.	10/11/2026	10/12/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical