Happy DOM: Codeinjektion über ungeprüften Import-Alias im ESM-Compiler

Zusammenfassung

Happy DOM, eine JavaScript-Implementierung eines Webbrowsers ohne grafische Benutzeroberfläche, prüft benannte ESM-Import-Aliase vor der Codegenerierung nicht. Ist die JavaScript-Auswertung aktiviert, kann angreifergesteuertes HTML oder Modulquellcode Code einschleusen, der im Node.js-Hostprozess ausgeführt wird. Es handelt sich um eine unvollständige Behebung von CVE-2026-33943, die einen separaten Codepfad betrifft.

Betroffen

• happy-dom ab 17.0.0 bis unter 21.0.4
• Unbekannt, ob 20.x betroffen ist; für 20.x wurde kein Fix veröffentlicht.

Behoben in

• Behoben in happy-dom 21.0.4.

Umgehung

• enableJavaScriptEvaluation auf false setzen, wenn ungeprüftes HTML verarbeitet wird oder Skripte nicht benötigt werden.
• happy-dom bei der Verarbeitung ungeprüfter Inhalte in isolierten Containern oder Sandboxes mit minimalen Rechten betreiben.
• Über diese Massnahmen hinaus ist kein Workaround vom Hersteller veröffentlicht; der Hersteller empfiehlt ein Update.

Ausnutzung

• Im Advisory wird ein öffentlicher Proof of Concept erwähnt, die Quellen widersprechen sich jedoch zum Status; nicht verifiziert.
• Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Nicht im CISA-KEV-Katalog geprüft.
• CISA SSVC: Exploitation PoC, nicht automatisierbar, totale technische Auswirkung.
• Voraussetzungen: JavaScript-Auswertung aktiviert und angreifergesteuerter HTML- oder Modulinhalt erreicht happy-dom; Benutzerinteraktion erforderlich.

Unsere Empfehlung

• Alle happy-dom-Installationen, direkte und transitive, mit npm ls happy-dom, Lockfiles und SBOMs ermitteln.
• Produktive Dienste priorisieren, die ungeprüftes HTML mit aktivierter JavaScript-Auswertung rendern oder auslesen.
• Auf 21.0.4 oder neuer aktualisieren und den Wechsel auf die Hauptversion 21.x testen, da sich das Standardverhalten ändert.
• Bis zur Aktualisierung die JavaScript-Auswertung für ungeprüfte Inhalte deaktivieren und betroffene Runner isolieren.
• Auch reine Entwicklungsinstallationen auf CI-Runnern und Entwicklerrechnern, die ungeprüfte Inhalte verarbeiten, sollten gepatcht werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-834v-8h66-3h79 github.com
• Happy DOM release v21.0.4 github.com
• Fix commit fd16352 github.com
• Pull request #2537 github.com
• OSV entry CVE-2026-115895 osv.dev
• GitLab advisory CVE-2026-115895 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:38.