CVE-2026-115895

Happy DOM, veb brauzerin qrafik istifadəçi interfeysi olmayan JavaScript tətbiqidir. 17.0.0 versiyasından 21.0.4 versiyasına qədər packages/happy-dom/src/module/ECMAScriptModuleCompiler.ts faylı, adlandırılmış ESM import aliasını generasiya edilmiş strukturlaşdırma bağlamasına daxil etməzdən əvvəl onun JavaScript bağlayıcı identifikatoru olduğunu yoxlamadan qəbul edir. enableJavaScriptEvaluation aktiv olduqda, hücumçu tərəfindən idarə olunan HTML və ya modul mənbəyi, kompilyasiyadan sonra keçərli standart başlatıcıya çevrilən etibarsız bir aliasdan istifadə edə bilər ki, bu da generasiya edilmiş JavaScript kodunun Node.js host prosesində icrasına səbəb olur. Nümayiş etdirilən əlçatan yol JSON modul import atributundan istifadə edir ki, bu da zərərli aliasın sonrakı ESM dairəvi-import təyinatında yenidən yayılmasının qarşısını alır və generasiya edilmiş funksiyanın sintaktiki cəhətdən düzgün qalmasını təmin edir. CVE-2026-33943 üçün olan bu natamam düzəliş fərqli bir qalıq yoldur, çünki əvvəlki tədbirlər lokal eksport importName yolunu yoxlasa da, adlandırılmış-import aliasını yoxlamamışdır. Bu problem 21.0.4 versiyasında aradan qaldırılıb.