CVE-2026-118659 in Happy DOM
Riassunto
di VulDB • 28/10/2026
Happy DOM è un'implementazione JavaScript di un browser web priva della sua interfaccia grafica utente (GUI). Prima della versione 21.0.2, il pacchetto ServerRendererServer del server-renderer di Happy DOM accetta richieste HTTP/2 non autenticate e risolve i valori :path controllati dall'attaccante rispetto a server.targetOrigin in #onIncomingRequest nel file packages/@happy-dom/server-renderer/src/ServerRendererServer.ts senza confermare che l'origine risolta rimanga attendibile prima di chiamare fetch. Un percorso relativo al protocollo può modificare la destinazione verso un endpoint HTTP o HTTPS arbitrario raggiungibile dal server, inclusi servizi locali e interni, e il proxy inoltra le intestazioni della risposta recuperata e il corpo alla richiedente. Questo problema è stato risolto nella versione 21.0.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.