हैप्पी DOM की फ़ेच क्रेडेंशियल्स में टारगेट-ओरिजिन कुकीज़ के बजाय पेज-ओरिजिन कुकीज़ का उपयोग शामिल है

हैप्पी डोम एक जावास्क्रिप्ट कार्यान्वयन है जो वेब ब्राउज़र का ग्राफिकल यूजर इंटरफेस के बिना प्रतिनिधित्व करता है। CVE-2026-34226 एक गंभीर भेद्यता है जो तब उत्पन्न होती है जब fetch(..., { credentials: "include" }) का उपयोग किया जाता है। संस्करण 20.8.9 से पहले, हैप्पी डोम वर्तमान पृष्ठ के मूल (window.location) से कुकीज़ को अनुरोध लक्ष्य URL के बजाय संलग्न कर सकता है। इसका मतलब है कि एक दुर्भावनापूर्ण वेबसाइट (मूल A) किसी अन्य वेबसाइट (गंतव्य B) पर अनुरोध करते समय, वह मूल A से कुकीज़ को अनजाने में गंतव्य B को भेज सकती है। यह क्रॉस-साइट स्क्रिप्टिंग (XSS) हमलों या अन्य शोषण परिदृश्यों के माध्यम से हो सकता है जहां हमलावर उपयोगकर्ता को गंतव्य B पर अनुरोध करने के लिए प्रेरित करता है, जिससे कुकीज़ लीक हो जाती हैं। जोखिम में संवेदनशील जानकारी शामिल हो सकती है, जैसे कि सत्र कुकीज़, प्रमाणीकरण टोकन या अन्य व्यक्तिगत डेटा। इस भेद्यता का 'ब्लास्ट रेडियस' व्यापक हो सकता है, क्योंकि यह उन सभी अनुप्रयोगों को प्रभावित कर सकता है जो हैप्पी डोम का उपयोग करते हैं और credentials: "include" के साथ fetch का उपयोग करते हैं। यदि कुकीज़ में संवेदनशील जानकारी होती है, तो हमलावर उपयोगकर्ता के खाते को हाईजैक कर सकता है या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकता है।

Applications utilizing Happy DOM for headless browser automation, particularly those involved in web scraping, testing, or automated form filling, are at risk. This includes developers and organizations using Happy DOM as a component in their CI/CD pipelines or for automated user interactions.

• nodejs: Use npm audit to check for vulnerable versions of Happy DOM.

npm audit happy-dom@<=20.8.9

• nodejs: Inspect application code for usage of fetch with credentials: "include". Search for patterns like fetch(..., { credentials: "include" }). • generic web: Review application logs for unusual cross-origin requests that might indicate cookie leakage. Monitor for unexpected cookies being sent to third-party domains.

1. 2026-03-27Disclosure

   disclosure

1. आरक्षित2026-03-26
2. प्रकाशित2026-03-27
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-04

CVE-2026-34226 को ठीक करने का सबसे सीधा तरीका है हैप्पी डोम को संस्करण 20.8.9 या बाद के संस्करण में अपग्रेड करना। यह सुनिश्चित करेगा कि कुकीज़ सही URL से संलग्न हैं और डेटा लीक का जोखिम कम हो गया है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, credentials: "include" का उपयोग करने वाले fetch अनुरोधों को अस्थायी रूप से अक्षम करने या सीमित करने पर विचार करें। यह उन क्षेत्रों में जोखिम को कम कर सकता है जहां यह सुविधा आवश्यक नहीं है। अपग्रेड के बाद, यह सत्यापित करना महत्वपूर्ण है कि कुकीज़ सही ढंग से संलग्न हैं। आप ब्राउज़र डेवलपर टूल्स का उपयोग करके नेटवर्क ट्रैफ़िक का निरीक्षण कर सकते हैं और सुनिश्चित कर सकते हैं कि कुकीज़ सही URL से भेजी जा रही हैं। यह सुनिश्चित करने के लिए नियमित सुरक्षा स्कैन और भेद्यता मूल्यांकन भी महत्वपूर्ण हैं कि आपके एप्लिकेशन में कोई अन्य ज्ञात भेद्यताएं नहीं हैं।

अंतिम अपडेट

20.9.0हाल ही में