Happy DOM: Server-side Request Forgery über Laden von iframes und Stylesheets
Zusammenfassung
Happy DOM, eine JavaScript-DOM-Implementierung für den serverseitigen Einsatz, lädt standardmässig iframe- und Stylesheet-URLs beim Parsen von HTML. Ein Angreifer, der das geparste HTML beeinflussen kann, kann den Server veranlassen, Anfragen an interne oder Cloud-Endpunkte zu senden, und dabei vertrauliche Antworten oder Zugangsdaten erhalten. Dafür ist keine Aktivierung durch die Anwendung nötig.
Betroffen
- capricorn86 Happy DOM (npm-Paket happy-dom) vor 21.0.0
- Untere Grenze des betroffenen Bereichs: Unbekannt.
Behoben in
- Behoben in Version 21.0.0, welche das Laden von iframe-Seiten und CSS-Dateien standardmässig deaktiviert.
- Empfohlene Zielversion: 21.0.4 oder neuer, welche zudem die verwandte CVE-2026-115895 behebt.
Umgehung
- Falls Sie nicht sofort aktualisieren können, setzen Sie disableIframePageLoading und disableCSSFileLoading in den Happy-DOM-Einstellungen auf true (dokumentiert für die 20.x-Linie; für Ihre Version prüfen).
- Verarbeiten Sie mit Happy DOM kein unvertrauenswürdiges HTML auf dem Server, bis die Aktualisierung abgeschlossen ist.
- Beschränken Sie den ausgehenden Datenverkehr des Anwendungshosts, zum Beispiel durch Blockieren interner und Metadaten-Adressen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt; laut der Nachverfolgung eines Projekts nicht im CISA-KEV-Katalog.
- Das GitHub-Advisory enthält einen kurzen Reproduktionsbeispiel für die iframe- und Stylesheet-Fälle. Es wurde kein öffentliches Exploit-Modul gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- EPSS: 0.4 %.
Unsere Empfehlung
- Prüfen Sie, ob Happy DOM in Ihren Produktivabhängigkeiten enthalten ist und ob es HTML parst, das Benutzer oder Dritte beeinflussen können (Rich Text, E-Mail-Vorlagen, Link-Vorschauen, Prerendering).
- Aktualisieren Sie auf 21.0.4 oder neuer und testen Sie Ihre Test-Suites, da sich die Einstellungen geändert haben und einige Tests fehlschlagen können.
- Wenden Sie bis dahin die Workaround-Massnahme an und beschränken Sie ausgehende Anfragen des Anwendungshosts.
- Überwachen Sie ausgehende Verbindungen des Anwendungshosts auf Anfragen an interne oder Metadaten-Adressen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Happy DOM commit 0a99c75 (disable CSS and iframe loading by default) github.com
- Happy DOM pull request #2502 github.com
- Happy DOM release v21.0.0 github.com
- GitHub Security Advisory GHSA-c8p4-j97h-3vg8 github.com
- GitLab Advisory Database entry CVE-2026-118660 advisories.gitlab.com
- OSV entry GHSA-c8p4-j97h-3vg8 osv.dev
- VulDB entry CVE-2026-118660 vuldb.com
- Happy DOM settings wiki github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:53.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.