CVE-2026-118659

Nome do Software Vulnerável e Versões Afetadas Happy DOM versões anteriores a 21.0.2

Descrição O pacote server-renderer do ServerRendererServer aceita requisições HTTP/2 não autenticadas e resolve valores :path controlados por atacantes em relação ao server.targetOrigin na função onIncomingRequest(). Como o sistema não confirma se a origem resolvida permanece confiável antes de chamar o fetch, um caminho relativo ao protocolo pode alterar o destino para qualquer endpoint HTTP ou HTTPS arbitrário acessível pelo servidor, incluindo serviços locais e internos. O proxy então retransmite os cabeçalhos e o corpo da resposta obtida para o requerente.

Recomendações Atualizar para a versão 21.0.2.