CVE-2026-63402

i18next to platforma internacjonalizacji dla JavaScript. Przed wersją 26.3.4 polecenie „deepExtend” w pliku „src/utils.js” sprawdza istnienie właściwości za pomocą operatora in i powraca do odziedziczonych wbudowanych elementów osiąganych poprzez obiekt „Object.prototype”. Aplikacja musi jawnie przekazywać dane zasobów kontrolowanych przez atakującego do `addResourceBundle(lng, ns, data, deep, overwrite)` z parametrami `deep: true` i `overwrite: true`. Klucze źródłowe, takie jak „hasOwnProperty”, „toString” i „valueOf” mogą następnie wybierać współużytkowane, dziedziczone, wbudowane obiekty funkcyjne, a zagnieżdżona wartość może zastąpić właściwość tych obiektów w całym procesie. Na przykład, ustawienie `Object.prototype.hasOwnProperty.call` jako niemożliwego do wywołania powoduje, że kolejne użycia, w tym wewnętrzne i18next, zgłaszają błąd TypeError, co skutkuje nieodwracalną odmową usługi i ograniczonym wpływem na integralność. Strażnik `__proto__`/`konstruktor` nie zapobiega temu mechanizmowi, ponieważ celem uszkodzenia jest dziedziczona funkcja wbudowana, a nie sam obiekt prototypowy. Domyślne wywołania bez głębokiego scalania lub z fałszowaniem nadpisania pozostają niezmienione i żaden standardowy backend ani integracja i18next nie korzystają z podatnej konfiguracji. Ten problem różni się od błędów związanych z prototypem setPath/key-walking i zanieczyszczeniem w zapleczu i18next-fs (CVE-2026-48713) i oprogramowaniu pośrednim i18next-http (CVE-2026-48714). Ten problem został rozwiązany w wersji 26.3.4.