Platform
nodejs
Component
happy-dom
Opgelost in
20.8.10
CVE-2026-34226 beschrijft een kwetsbaarheid in happy-dom die kan leiden tot cookie leaking. Deze kwetsbaarheid kan cookies van de huidige pagina origin lekken naar de request target URL. De kwetsbaarheid is opgelost in versie 20.8.9. De impact kan variëren afhankelijk van de context.
Deze kwetsbaarheid in Happy DOM, een JavaScript implementatie van een webbrowser zonder grafische interface, kan leiden tot het onbedoeld lekken van cookies. Stel je voor dat een applicatie gebruik maakt van Happy DOM om een webpagina te renderen en data te verwerken, bijvoorbeeld een server-side rendering framework. Als deze applicatie fetch(..., { credentials: "include" }) gebruikt om data op te halen van een andere origin (domein), kan Happy DOM per ongeluk cookies van de huidige pagina (window.location) toevoegen aan de request headers in plaats van de cookies die specifiek horen bij de target URL. Dit betekent dat een kwaadwillende website, die via Happy DOM data opvraagt van een andere website (origin A), mogelijk cookies van die website kan bemachtigen, zelfs als die cookies alleen geldig zijn voor origin A. Deze gestolen cookies kunnen vervolgens worden gebruikt om ongeautoriseerde toegang te krijgen tot resources of functionaliteit op origin A, zoals gebruikersaccounts of gevoelige data. De blast radius is afhankelijk van de gevoeligheid van de cookies die gelekt kunnen worden en de toegang die een aanvaller hiermee kan verkrijgen. Een succesvolle exploit vereist dat een applicatie Happy DOM gebruikt en de credentials: "include" optie in fetch aanroept om data op te halen van een andere origin.
Op dit moment zijn er geen publiekelijk beschikbare exploit rapporten voor CVE-2026-34226. Dit betekent dat er geen bekende manieren zijn om deze kwetsbaarheid te exploiteren in de praktijk. Echter, de potentiële impact van het lekken van cookies is aanzienlijk, en het is daarom belangrijk om deze kwetsbaarheid serieus te nemen en de aanbevolen mitigatie maatregelen te implementeren. Het ontbreken van publieke exploits betekent niet dat de kwetsbaarheid niet kan worden geëxploiteerd; het kan simpelweg betekenen dat de exploit nog niet is ontdekt of gedeeld. De urgentie van het patchen is hoog, gezien de potentiële impact en het feit dat de fix beschikbaar is in versie 20.8.9.
Applications utilizing Happy DOM for headless browser automation, particularly those involved in web scraping, testing, or automated form filling, are at risk. This includes developers and organizations using Happy DOM as a component in their CI/CD pipelines or for automated user interactions.
• nodejs: Use npm audit to check for vulnerable versions of Happy DOM.
npm audit happy-dom@<=20.8.9• nodejs: Inspect application code for usage of fetch with credentials: "include". Search for patterns like fetch(..., { credentials: "include" }).
• generic web: Review application logs for unusual cross-origin requests that might indicate cookie leakage. Monitor for unexpected cookies being sent to third-party domains.
disclosure
Exploit Status
EPSS
0.03% (10% percentiel)
CISA SSVC
CVSS-vector
De meest effectieve manier om deze kwetsbaarheid te verhelpen is het updaten van Happy DOM naar versie 20.8.9 of hoger. Dit update bevat de correctie die ervoor zorgt dat cookies correct worden gekoppeld aan de request target URL. Indien een directe upgrade niet mogelijk is, is het belangrijk om het gebruik van credentials: "include" in fetch te heroverwegen. Als deze functionaliteit essentieel is, overweeg dan om de cookies die worden meegezonden expliciet te beheren en te filteren, zodat alleen de relevante cookies worden verstuurd. Test na elke wijziging grondig om te verzekeren dat de functionaliteit correct werkt en dat er geen onbedoelde data lekken plaatsvinden. Controleer na de upgrade of de cookies correct worden verzonden door de request headers te inspecteren met behulp van browser developer tools of een netwerk proxy. Het is belangrijk om de upgrade in een testomgeving te implementeren voordat deze in productie wordt gebracht om onverwachte impact te voorkomen.
Update de versie van Happy DOM naar 20.8.9 of hoger. Dit corrigeert de kwetsbaarheid die het lekken van cookies tussen origins mogelijk maakt.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-34226 is a high-severity vulnerability in Happy DOM versions up to 20.8.9 that allows cookies to be leaked to unintended origins when using fetch with credentials: "include".
You are affected if you are using Happy DOM version 20.8.9 or earlier and your application uses the fetch API with credentials: "include".
Upgrade to Happy DOM version 20.8.9 or later. If immediate upgrade is not possible, implement stricter origin validation in your application.
There is no current evidence of active exploitation, but the vulnerability's nature suggests potential for exploitation and PoC development.
Refer to the Happy DOM project's repository and release notes for the official advisory and details on the fix: [https://github.com/happy-dom/happy-dom](https://github.com/happy-dom/happy-dom)
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.