CVE-2026-118660

Nome do Software Vulnerável e Versões Afetadas happy-dom versões anteriores a 21.0.0

Description Happy DOM é uma implementação em JavaScript de um navegador web sem sua interface gráfica de usuário. Ao analisar HTML não confiável no servidor, o software carrega URLs src de iframe e URLs href de link rel="stylesheet" por padrão. Isso ocorre porque as variáveis disableIframePageLoading e disableCSSFileLoading têm como valor padrão false. Um invasor que controle o HTML analisado pode desencadear o Server-Side Request Forgery (SSRF), fazendo com que o servidor realize requisições para endpoints internos ou de nuvem arbitrários. Isso pode levar à exposição de respostas confidenciais, varredura de rede interna ou roubo de credenciais de nuvem de endpoints de metadados.

Recommendations Atualize para a versão 21.0.0. Como solução temporária, defina as variáveis disableIframePageLoading e disableCSSFileLoading como true para desativar o carregamento de recursos externos.