JVNDB-2026-020216

i18nextのi18next-http-middlewareにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

i18next-http-middlewareは、expressやFastifyなどのNode.jsウェブフレームワークやDenoで使用されるミドルウェアです。バージョン3.9.7以前では、missingKeyHandlerはリクエストボディのキー__proto__、constructor、およびprototype（3.9.3で追加、GHSA-5fgg-jcpf-8jjw参照）をブロックしていましたが、"__proto__.polluted"のようなドット付きの変種は拒否しませんでした。下流のバックエンド（特にi18next-fs-backend バージョン2.6.5以下）は、missing-key文字列を設定されたkeySeparatorで分割し、これらのキーを保護されていないsetPath()ウォーカーに渡してObject.prototypeに書き込みを行います。missingKeyHandlerを信頼できない入力に対して公開し、かつi18next-fs-backend バージョン2.6.5以下を使用するアプリケーションは、リモートプロトタイプ汚染の脆弱性を直接悪用される可能性があります。同様の方法でmissing-key文字列を分割する他の下流バックエンドも同様に影響を受ける可能性があります。ホストアプリケーションによっては、汚染されたプロトタイププロパティがクラッシュ、翻訳の破損、設定の汚染、またはプロパティベースのセキュリティチェックの回避を引き起こす可能性があります。この問題はバージョン3.9.7で修正されました。開発者が即時のアップグレードができない場合は、以下の対応を行うべきです：missingKeyHandlerを信頼できないユーザーに公開しない（認証の背後に設置するかルートを削除する）、ハンドラーの前にリクエストボディフィルターを追加し、設定されたkeySeparatorで分割した後に__proto__、constructor、またはprototypeを含むトップレベルキーを拒否し、信頼できない入力からの書き込みを受け入れる場合はmissing-keyの永続化（saveMissing: false）を無効にしてください。

i18next

• i18next-http-middleware 3.9.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : i18next-http-middleware missingKeyHandler does not reject keys whose segments contain prototype-polluting names  Advisory  i18next/i18next-http-middleware  GitHub

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-48714

1. National Vulnerability Database (NVD) : CVE-2026-48714
2. 関連文書 : security: reject missing keys whose split segments hit __proto__ / co…  i18next/i18next-http-middleware@7c6d26f  GitHub

• [2026年06月22日]
    掲載