CVE-2025-61927

Happy DOM, bir web tarayıcısının grafik kullanıcı arayüzü olmayan bir JavaScript uygulamasıdır. Happy DOM v19 ve altı sürümler, sistem sahibini RCE (Uzaktan Kod Çalıştırma) saldırıları riskiyle karşı karşıya bırakan bir güvenlik açığı içermektedir. Bir Node.js VM Context izole bir ortam değildir ve kullanıcı Happy DOM VM Context içerisinde güvenilmeyen JavaScript kodu çalıştırırsa, bu kod VM'den kaçabilir ve işlem düzeyi işlevselliğe erişim sağlayabilir. Saldırganın ne üzerinde kontrol sağlayabileceği, işlemin ESM veya CommonJS kullanıp kullanmadığına bağlı görünmektedir. CommonJS ile saldırgan, modülleri içe aktarmak için `require()` fonksiyonunu ele geçirebilir. Happy DOM, varsayılan olarak JavaScript değerlendirmesini etkinleştirmiştir. Bu durum Happy DOM kullanıcısı için belirgin olmayabilir ve ortamda güvenilmeyen kod yürütülürse potansiyel olarak kullanıcıyı riske atabilir. Versiyon 20.0.0, JavaScript değerlendirmesinin varsayılan olarak devre dışı bırakılmasını sağlayarak sorunu gidermektedir.