CVE-2026-118660 in Happy DOM
Riassunto
di VulDB • 28/10/2026
Happy DOM è un'implementazione JavaScript di un browser web priva della sua interfaccia grafica utente (GUI). Prima della versione 21.0.0, Happy DOM carica per impostazione predefinita gli URL `src` degli iframe e gli URL `href` con `rel="stylesheet"` durante l'analisi di HTML non attendibile sul server, poiché le opzioni `disableIframePageLoading` e `disableCSSFileLoading` sono impostate su false. Un attaccante che controlla il HTML analizzato può quindi provocare richieste lato server verso endpoint interni o cloud arbitrari senza la necessità di un'esplicita opzione da parte dell'applicazione, esponendo potenzialmente risposte confidenziali o credenziali restituite da tali endpoint. Questo problema è stato risolto nella versione 21.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.