CVE-2026-115895

Nome do Software Vulnerável e Versões Afetadas happy-dom versões 17.0.0 até 21.0.3

Descrição O compilador ESM em packages/happy-dom/src/module/ECMAScriptModuleCompiler.ts não valida aliases de importação ESM nomeados antes de inseri-los em vinculações de desestruturação geradas. Quando a opção enableJavaScriptEvaluation está ativada, um invasor pode fornecer HTML ou código de módulo especialmente manipulado contendo um alias inválido. Esse alias pode ser transformado em um inicializador padrão de JavaScript válido durante a compilação, permitindo a execução de JavaScript arbitrário no processo hospedeiro do Node.js. Esse problema pode ser explorado para acessar o objeto process do Node.js e módulos integrados, como node:fs, permitindo operações não autorizadas no sistema de arquivos ou a execução de comandos. O caminho de exploração geralmente utiliza um atributo de importação de módulo JSON para garantir que a função gerada permaneça sintaticamente válida, evitando que o alias malicioso seja emitido em atribuições de importação circular.

Recomendações Atualize o happy-dom para a versão 21.0.4. Como medida de mitigação temporária, desative a configuração enableJavaScriptEvaluation caso ela não seja estritamente necessária para a funcionalidade da aplicação.