Veille sécuritéFrontend
P3Élevée
Happy DOM versions 17.0.0 à 21.0.3 peuvent permettre une injection de code dans le processus Node.js lorsque l’évaluation JavaScript est activée et qu’un import ESM malveillant est traité. Mettre à niveau vers 21.0.4 ou une version ultérieure.
JavaScript
IdentifiantCVE-2026-115895
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.0.4
Source : GHSA-834v-8h66-3h79 — Happy DOM
Analyse technique
Défaut de validation d’un alias d’import nommé dans le compilateur ESM; l’exploitation décrite nécessite que enableJavaScriptEvaluation soit activé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-23 à 22:16:58Z, soit le 2026-10-24 à 00:16:58 +02:00, dans la période retenue.
ImpactExécution de code dans le processus Node.js hôte, avec risque pour la confidentialité, l’intégrité et la disponibilité.
Versions affectées>= 17.0.0 et < 21.0.4
Version corrigée21.0.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,56% · percentile 45,8%
Publication2026-10-24T00:16:58+02:00
Mise à jour2026-10-24T00:06:14+02:00
Action recommandée
Mettre à niveau happy-dom vers 21.0.4 ou ultérieur; vérifier si l’évaluation JavaScript est activée et si des sources de modules non fiables peuvent être traitées.
Sources
Priorisation DFS : P3 · 2 source(s).