हैप्पी DOM ECMAScriptModuleCompiler: अस्वच्छ निर्यात नाम निष्पादन योग्य कोड के रूप में इंटरपोलेट किए जाते हैं

CVE-2026-33943 happy-dom में रिमोट कोड एग्जीक्यूशन (RCE) का एक महत्वपूर्ण जोखिम प्रस्तुत करता है। ECMAScript मॉड्यूल कंपाइलर happy-dom द्वारा संसाधित ES मॉड्यूल स्क्रिप्ट में export { } घोषणाओं के भीतर इंजेक्ट किए गए कंटेंट को ठीक से सैनिटाइज नहीं करता है। यह एक हमलावर को मनमाना JavaScript एक्सप्रेशन इंजेक्ट करने की अनुमति देता है, जिसे संकलन प्रक्रिया के दौरान सीधे निष्पादित किया जाता है। उद्धरण फ़िल्टर द्वारा बैकटिक को हटाने में विफलता, टेम्पलेट लिटरल के उपयोग को सक्षम करती है, जिससे मौजूदा सुरक्षा उपायों को बायपास करना आसान हो जाता है। सफल शोषण हमलावर को एप्लिकेशन की सुरक्षा से समझौता करने, संवेदनशील डेटा तक अनधिकृत पहुंच प्राप्त करने या सिस्टम निष्पादन को नियंत्रित करने की अनुमति दे सकता है।

Applications and services built on Node.js that utilize the happy-dom module for DOM manipulation or testing are at risk. This includes projects using happy-dom for server-side rendering, automated testing, or simulating browser environments. Projects relying on third-party libraries that transitively depend on vulnerable versions of happy-dom are also potentially affected.

• nodejs / server:

  npm list happy-dom

• nodejs / server:

  npm audit happy-dom

• nodejs / server: Check package.json for versions prior to 20.8.8. • nodejs / server: Examine application logs for errors related to ES module compilation or JavaScript execution originating from external sources.

1. 2026-03-26Disclosure

   disclosure

1. आरक्षित2026-03-24
2. प्रकाशित2026-03-26
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-04

CVE-2026-33943 के लिए प्राथमिक शमन happy-dom को संस्करण 20.8.8 या उच्चतर में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो export { } घोषणाओं में इंजेक्ट किए गए कंटेंट को ठीक से सैनिटाइज करके भेद्यता को संबोधित करता है। इस बीच, एक अस्थायी उपाय के रूप में, अविश्वसनीय स्रोतों से ES स्क्रिप्ट को संसाधित करने से बचें। इसके अतिरिक्त, happy-dom के किसी भी संभावित उपयोग की पहचान करने के लिए कोड की जांच करें जो कमजोर हो सकता है, और happy-dom के साथ संसाधित करने से पहले उपयोगकर्ता द्वारा प्रदान किए गए सभी डेटा को मान्य और साफ़ करने के लिए अतिरिक्त इनपुट नियंत्रण लागू करें। इस जोखिम को कम करने के लिए पैच लागू करना और सुरक्षित कोडिंग प्रथाओं को अपनाना महत्वपूर्ण है।

अंतिम अपडेट

20.9.0हाल ही में