CVE-2026-33943

WysokieCVSS 8.8

Opublikowano: 27/03/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.79%

Percentyl 52 - wyżej niż 52% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece Happy DOM (wersje 15.10.0 do 20.8.7) umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie złośliwych wyrażeń JavaScript w deklaracjach `export { }` w modułach ES. Kompilator `ECMAScriptModuleCompiler` bezpośrednio interpoluje niesprawdzone dane do generowanego kodu, a filtr cytatów nie usuwa znaków backtick, co pozwala na ominięcie zabezpieczeń za pomocą literałów szablonowych.

Ocena ryzyka

Atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście aplikacji używającej podatnej wersji Happy DOM, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub dalszego rozprzestrzeniania się ataku w infrastrukturze.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę Happy DOM do wersji 20.8.8 lub nowszej, która usuwa podatność. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć przetwarzanie modułów ES lub zastosować reguły WAF blokujące podejrzane deklaracje `export { }`.

Inne podatności w Happy DOM

CVE-2026-34226Wysokie
W bibliotece Happy DOM przed wersją 20.8.9 występuje podatność polegająca na nieprawidłowym dołączaniu ciasteczek podczas użycia fetch() z opcją credentials: 'include'. Zamiast ciasteczek z docelowego adresu URL, dołączane są ciasteczka z bieżącej strony (window.location), co może prowadzić do wycieku ciasteczek z domeny A do domeny B.

Oryginalny opis (angielski, źródło NVD)

Happy DOM is a JavaScript implementation of a web browser without its graphical user interface. In versions 15.10.0 through 20.8.7, a code injection vulnerability in `ECMAScriptModuleCompiler` allows an attacker to achieve Remote Code Execution (RCE) by injecting arbitrary JavaScript expressions inside `export { }` declarations in ES module scripts processed by happy-dom. The compiler directly interpolates unsanitized content into generated code as an executable expression, and the quote filter does not strip backticks, allowing template literal-based payloads to bypass sanitization. Version 20.8.8 fixes the issue.