<script>タグを介してサーバーサイドコードが実行されるhappy-domの脆弱性

この脆弱性は、攻撃者が happy-dom を使用するアプリケーションに悪意のある JavaScript コードを注入することを可能にします。成功した場合、攻撃者はサーバー上で任意のコマンドを実行し、機密情報を盗み出し、システムを完全に制御する可能性があります。特に、happy-dom をテスト環境や自動化スクリプトで使用している場合、攻撃のリスクが高まります。この脆弱性は、Node.js アプリケーションのセキュリティを著しく損なう可能性があります。

Applications and systems utilizing happy-dom in their Node.js projects, particularly those involved in automated testing, server-side rendering, or any scenario where user-supplied input is processed by happy-dom, are at significant risk. Projects relying on older, unmaintained versions of happy-dom are especially vulnerable.

• nodejs / server:

npm list happy-dom

This command will list the installed version of happy-dom. If the version is less than 15.10.2, the system is vulnerable. • nodejs / server:

npm audit

Run an npm audit to identify vulnerabilities in your project dependencies, including happy-dom. • nodejs / server: Inspect package.json for happy-dom dependency and check the version number.

1. 2024-11-06Disclosure

   disclosure

1. 予約済み2024-10-31
2. 公開日2024-11-06
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、happy-dom をバージョン 15.10.2 以降にアップデートすることです。アップデートがすぐに利用できない場合、happy-dom を使用するアプリケーションの入力を厳密に検証し、悪意のあるコードの実行を防ぐためのセキュリティ対策を講じる必要があります。また、WAF (Web Application Firewall) を導入し、悪意のあるリクエストをブロックすることも有効です。アップデート後、アプリケーションを再起動し、脆弱性が修正されていることを確認してください。