CVE-2026-33943
Açıklama
Happy DOM, bir web tarayıcısının grafik kullanıcı arayüzü olmayan JavaScript uygulamasıdır. 15.10.0 ile 20.8.7 arasındaki sürümlerde, `ECMAScriptModuleCompiler` bileşenindeki bir kod enjeksiyonu zafiyeti, saldırganın happy-dom tarafından işlenen ES modül betiklerindeki `export { }` bildirimleri içerisine rastgele JavaScript ifadeleri enjekte ederek Uzaktan Kod Çalıştırma (RCE) gerçekleştirmesine olanak tanır. Derleyici, temizlenmemiş içeriği doğrudan oluşturulan koda yürütülebilir bir ifade olarak ekler ve tırnak filtresi ters tırnakları (`backtick`) temizlemediğinden, şablon dizisi tabanlı yüklerin temizleme işlemini atlamasına izin verir. Sürüm 20.8.8 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- capricorn86 happy_dom20.8.8 ya da sonraki bir sürüm
- happy-dom20.8.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| capricorn86 happy_dom | 15.10.0 ≤ v < 20.8.8 | 20.8.8 |
| happy-domnpm | 15.10.0 ≤ v < 20.8.8 | 20.8.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.