CVE-2025-61927

Happy DOM, veb brauzerin qrafik istifadəçi interfeysi olmayan JavaScript tətbiqidir. Happy DOM v19 və daha aşağı versiyaları sistem sahibini RCE (uzaqdan kodun icrası) hücumları riski ilə üz-üzə qoyan təhlükəsizlik boşluğu ehtiva edir. Node.js VM Context izolyasiya olunmuş mühit deyil və əgər istifadəçi etibarsız JavaScript kodunu Happy DOM VM Context daxilində işlətsə, bu kod VM-dən çıxa və proses səviyyəli funksionallığa giriş əldə edə bilər. Görünür ki, hücumçunun nəyi idarə edə biləcəyi prosesin ESM və ya CommonJS istifadə etməsindən asılıdır. CommonJS ilə hücumçu modulları idxal etmək üçün `require()` funksiyasını əldə edə bilər. Happy DOM-da JavaScript qiymətləndirməsi (evaluation) standart olaraq aktivdir. Bu, Happy DOM istifadəçisi üçün aşkar olmaya bilər və etibarsız kod mühitdə icra edildikdə potensial olaraq istifadəçini riskə ata bilər. Versiya 20.0.0 JavaScript qiymətləndirməsini standart olaraq deaktiv etməklə bu problemi aradan qaldırır.