CVE-2026-41692 i18nextify DOM属性XSS漏洞

i18nextify是一个用于网站国际化的JavaScript库。在4.0.8版本之前，该库在处理src和href属性的{{key}}插值时存在安全漏洞。它直接将翻译后的原始字符串应用到DOM属性中，而未对URL scheme进行有效验证。如果攻击者能够篡改翻译文件或后端响应（例如通过劫持CDN或中间人攻击），即可注入恶意脚本（如javascript:alert(1)），导致客户端代码执行。

该漏洞源于i18nextify库中src/localize.js文件的replaceInside处理逻辑。当库解析带有{{key}}占位符的HTML属性（主要是src和href）时，会调用i18next.t()获取翻译内容并直接替换。虽然代码中存在针对重复http://前缀的检查，但并未过滤或验证URL的协议头。因此，当翻译接口返回的值为javascript:...或data:...时，这些值会被原样写入DOM。利用场景包括攻破翻译CDN、提交恶意用户语言包、HTTP后端中间人攻击或修改JSON文件。一旦恶意载荷加载到DOM，用户交互即会触发恶意代码。