Happy DOM ECMAScriptModuleCompiler: サニタイズされていないエクスポート名が実行可能コードとして補間されます

CVE-2026-33943 は、happy-dom におけるリモートコード実行 (RCE) のリスクをもたらします。ECMAScript モジュールコンパイラは、happy-dom によって処理される ES モジュールスクリプト内の export { } 宣言内に挿入されたコンテンツを適切にサニタイズしません。これにより、攻撃者はコンパイルプロセス中に直接実行される任意の JavaScript 式を挿入できるようになります。引用符フィルターによるバッククォートの削除の失敗により、テンプレートリテラルが使用可能になり、既存のセキュリティ対策を回避しやすくなります。 攻撃が成功すると、攻撃者はアプリケーションのセキュリティを侵害し、機密データへの不正アクセスを獲得したり、システム実行を制御したりする可能性があります。

Applications and services built on Node.js that utilize the happy-dom module for DOM manipulation or testing are at risk. This includes projects using happy-dom for server-side rendering, automated testing, or simulating browser environments. Projects relying on third-party libraries that transitively depend on vulnerable versions of happy-dom are also potentially affected.

• nodejs / server:

  npm list happy-dom

• nodejs / server:

  npm audit happy-dom

• nodejs / server: Check package.json for versions prior to 20.8.8. • nodejs / server: Examine application logs for errors related to ES module compilation or JavaScript execution originating from external sources.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-03-26
3. 更新日2026-03-30
4. EPSS 更新日2026-04-04

CVE-2026-33943 の主な軽減策は、happy-dom をバージョン 20.8.8 以降にアップグレードすることです。このバージョンには、export { } 宣言への挿入コンテンツを適切にサニタイズすることで脆弱性を修正する修正が含まれています。その間、一時的な措置として、信頼できないソースからの ES スクリプトの処理を避けてください。さらに、happy-dom の使用状況で脆弱になる可能性のある箇所を特定し、happy-dom で処理する前にユーザーが提供するすべてのデータを検証およびクリーンアップするための追加の入力制御を適用します。パッチを適用し、安全なコーディングプラクティスを採用することは、このリスクを軽減するために不可欠です。