CVE-2026-118659 in Happy DOM
Zusammenfassung
von VulDB • 28.10.2026
Happy DOM ist eine JavaScript-Implementierung eines Webbrowsers ohne grafische Benutzeroberfläche. Vor Version 21.0.2 akzeptiert das ServerRendererServer-Paket des Happy-DOM-Server-Renderers nicht authentifizierte HTTP/2-Anfragen und löst angreiferkontrollierte :path-Werte gegen server.targetOrigin in #onIncomingRequest in packages/@happy-dom/server-renderer/src/ServerRendererServer.ts auf, ohne zu bestätigen, dass der aufgelöste Ursprung vertrauenswürdig bleibt, bevor fetch aufgerufen wird. Ein protokollrelativer Pfad kann das Ziel auf einen beliebigen HTTP- oder HTTPS-Endpunkt ändern, der vom Server erreichbar ist, einschließlich lokaler und interner Dienste, und der Proxy leitet die abgerufenen Antwortheader und den -körper an den Anforderer weiter. Dieses Problem wurde in Version 21.0.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.