CVE-2026-34226

WysokieCVSS 7.5

Opublikowano: 27/03/2026(UTC)Zaktualizowano: 19/08/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

W bibliotece Happy DOM przed wersją 20.8.9 występuje podatność polegająca na nieprawidłowym dołączaniu ciasteczek podczas użycia fetch() z opcją credentials: 'include'. Zamiast ciasteczek z docelowego adresu URL, dołączane są ciasteczka z bieżącej strony (window.location), co może prowadzić do wycieku ciasteczek z domeny A do domeny B.

Ocena ryzyka

Ryzyko polega na możliwym wycieku poufnych ciasteczek sesyjnych lub autoryzacyjnych między różnymi domenami, co może umożliwić atakującemu przejęcie sesji użytkownika lub dostęp do chronionych zasobów.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę Happy DOM do wersji 20.8.9 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w Happy DOM

CVE-2026-33943Wysokie
Podatność w bibliotece Happy DOM (wersje 15.10.0 do 20.8.7) umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie złośliwych wyrażeń JavaScript w deklaracjach `export { }` w modułach ES. Kompilator `ECMAScriptModuleCompiler` bezpośrednio interpoluje niesprawdzone dane do generowanego kodu, a filtr cytatów nie usuwa znaków backtick, co pozwala na ominięcie zabezpieczeń za pomocą literałów szablonowych.

Oryginalny opis (angielski, źródło NVD)

Happy DOM is a JavaScript implementation of a web browser without its graphical user interface. Versions prior to 20.8.9 may attach cookies from the current page origin (`window.location`) instead of the request target URL when `fetch(..., { credentials: "include" })` is used. This can leak cookies from origin A to destination B. Version 20.8.9 fixes the issue.