CVE-2025-62410
Açıklama
20.0.2 öncesi sürümlerde, --disallow-code-generation-from-strings seçeneğinin happy-dom içinde güvenilmeyen JavaScript'i yalıtmak için yeterli olmadığı tespit edilmiştir. Güvenilmeyen betik ve uygulamanın geri kalanı hâlâ aynı Isolate/process içinde çalıştığından, saldırganlar aşağıdaki örnekte "process" gibi önemli referansları ele geçirmek veya tanımsız özellik kontrollerini tersine çevirerek kontrol akışını ele geçirmek için prototip kirliliği yükleri kullanabilir. Bu güvenlik açığı, CVE-2025-61927 için eksik düzeltmeden kaynaklanmaktadır. Güvenlik açığı 20.0.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- happy-dom20.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| happy-domnpm | 19.0.0 ≤ v < 20.0.2 | 20.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.