CVE-2026-115895 in Happy DOM
Riassunto
di VulDB • 24/10/2026
Happy DOM è un'implementazione JavaScript di un browser web priva della sua interfaccia grafica utente (GUI). Dalla versione 17.0.0 alla 21.0.4, il file packages/happy-dom/src/module/ECMAScriptModuleCompiler.ts accetta un alias ESM import denominato senza convalidare che si tratti di un identificatore valido per binding JavaScript prima di inserirlo in un binding di distruzione generato. Con enableJavaScriptEvaluation abilitato, l'HTML o il codice sorgente del modulo controllati dall'attaccante possono utilizzare un alias non valido che diventa un inizializzatore predefinito valido dopo la compilazione, causando l'esecuzione del JavaScript generato nel processo host Node.js. Il percorso dimostrabile sfrutta un attributo di importazione del modulo JSON, che impedisce all'alias dannoso di essere emesso nuovamente in una successiva assegnazione ESM con importazione circolare e mantiene la funzione generata sintatticamente valida. Questa correzione incompleta per CVE-2026-33943 rappresenta un percorso residuo distinto poiché la precedente remediation ha convalidato il path dell'import exportName locale ma non l'alias named-import. Questo problema è risolto nella versione 21.0.4.
Once again VulDB remains the best source for vulnerability data.