PT-2026-129182
CVE-2026-118661
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
happy-dom الإصدارات السابقة إلى 20.14.6
Description
Happy DOM هو تنفيذ بلغة JavaScript لمتصفح ويب بدون واجهة مستخدم رسومية. لا يقوم
CookieContainer في src/cookie/CookieContainer.ts بالتحقق بشكل صحيح من سمات نطاق ملفات تعريف الارتباط (Cookie Domain) أو مطابقتها. وتحديداً، تفشل الدالة cookieMatchesURL() في فرض حدود تسمية نظام أسماء النطاقات (DNS-label boundary)، مما يسمح لها بمعاملة اسم مضيف غير مرتبط يتشارك في اللاحقة على أنه تطابق. بالإضافة إلى ذلك، قد تقبل نطاقاً غير مرتبط بالأصل الذي يقوم بتعيين ملف تعريف الارتباط، بما في ذلك اللاحقة العامة. في تطبيقات الرندرة من جانب الخادم (SSR) وتطبيقات الرندرة المسبقة التي تتصل بأصول يسيطر عليها المهاجم ثم تقوم بإرسال طلبات إلى أصل الضحية، يمكن أن تسمح هذه السلوكيات للمهاجم بزرع وتسليم ملف تعريف ارتباط مزور، مما يؤدي إلى حقن ملفات تعريف الارتباط أو تثبيت الجلسة.Recommendations
تحديث happy-dom إلى الإصدار 20.14.6 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾