CVE-2025-62410
Təsvir
20.0.2 versiyasından əvvəlki versiyalarda, happy-dom daxilində etibarsız JavaScript-i izolyasiya etmək üçün --disallow-code-generation-from-strings parametrinin kifayət etmədiyi aşkar edilmişdir. Etibarsız skript və tətbiqin geri qalan hissəsi hələ də eyni Isolate/prosesdə işləyir, buna görə də hücumçular aşağıdakı nümunədə olduğu kimi "process" kimi vacib istinadları ələ keçirmək və ya təyin olunmamış xüsusiyyətlərin yoxlamalarını dəyişərək idarəetmə axınını ələ keçirmək üçün prototip çirklənməsi (prototype pollution) yüklərini tətbiq edə bilərlər. Bu zəiflik CVE-2025-61927 üçün tətbiq edilən natamam düzəlişdən qaynaqlanır. Zəiflik 20.0.2 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- happy-dom20.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| happy-domnpm | 19.0.0 ≤ v < 20.0.2 | 20.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.