何が起きたか
escapeParameter（Legacy API では escapeParameterHtml）を有効にしていても、サニタイザーが iframe の srcdoc 属性を扱わないため、srcdoc の中に入れたマークアップがそのまま残ります。srcdoc の値はブラウザーが文字参照をデコードして同じオリジンの文書として解釈するので、エスケープが無効になりスクリプトを実行されます。CVE-2025-53892 の修正を回避するものです。petite-vue-i18n と @intlify の関連パッケージも同じ版で対象です。
やること
vue-i18n（および petite-vue-i18n、@intlify/core-base などの関連パッケージ）を 11.4.14 へ更新します。利用者の入力を含む値を HTML メッセージに埋め込まないようにしてください。
出典
GitHub Advisory Database（GHSA-83rm-6c8r-g728）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。