PT-2026-129180
CVE-2026-118660
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
8.6
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
happy-dom الإصدارات السابقة إلى 21.0.0
Description
Happy DOM هو تنفيذ بلغة JavaScript لمتصفح ويب بدون واجهة مستخدم رسومية. عند تحليل HTML غير موثوق به على الخادم، يقوم البرنامج بتحميل عناوين URL الخاصة بـ
src في iframe وعناوين URL الخاصة بـ href في link rel="stylesheet" بشكل افتراضي. يحدث هذا لأن المتغيرات disableIframePageLoading و disableCSSFileLoading تكون قيمتها الافتراضية false. يمكن للمهاجم الذي يتحكم في HTML الذي يتم تحليله أن يتسبب في تزوير الطلبات من جانب الخادم (SSRF)، مما يؤدي إلى إرسال طلبات من الخادم إلى نقاط نهاية داخلية أو سحابية عشوائية. قد يؤدي ذلك إلى كشف استجابات سرية، أو فحص الشبكة الداخلية، أو سرقة بيانات اعتماد سحابية من نقاط نهاية البيانات الوصفية.Recommendations
التحديث إلى الإصدار 21.0.0.
كإجراء مؤقت، قم بتعيين المتغيرات
disableIframePageLoading و disableCSSFileLoading إلى true لتعطيل تحميل الموارد الخارجية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾