PT-2025-41599
CVE-2025-61927
·
تاريخ النشر
2025-10-10
·
تاريخ التحديث
2025-12-10
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Happy DOM 19 وما دونها
الوصف
يحتوي Happy DOM، وهو تطبيق لـ JavaScript لمتصفح ويب بدون واجهة مستخدم رسومية، على ثغرة أمنية قد تؤدي إلى هجمات تنفيذ التعليمات البرمجية عن بُعد (RCE). لا يتم عزل سياق آلة Node.js الافتراضية (VM) داخل Happy DOM بشكل كامل. قد يؤدي تشغيل كود JavaScript غير موثوق به ضمن هذا السياق إلى تمكينه من الهروب من VM والوصول إلى وظائف على مستوى العملية. يعتمد مدى التحكم الذي يكتسبه المهاجم على ما إذا كانت العملية تستخدم ESM أو CommonJS. مع CommonJS، يمكن للمهاجم الوصول إلى دالة
require() لاستيراد الوحدات النمطية. يتم تمكين تقييم JavaScript افتراضيًا في Happy DOM، مما قد يشكل خطرًا في حالة تنفيذ كود غير موثوق به داخل البيئة. يتأثر حوالي 2.7 مليون تنزيل أسبوعي بهذا الخطر.التوصيات
قم بالترقية إلى الإصدار 20.0.0 أو أحدث، الذي يعطل تقييم JavaScript افتراضيًا.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾