Veille sécuritéBackend & données
P3Élevée
Happy DOM jusqu’à la version 20.14.6 peut effectuer par défaut des requêtes HTTP vers des URL arbitraires lors de l’analyse de HTML non fiable contenant des éléments iframe ou des feuilles de style liées. Mettre à niveau vers 21.0.0 ou désactiver le chargement de ces ressources externes.
JavaScriptNode.js
IdentifiantCVE-2026-118660
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.0.0
Source : GHSA-c8p4-j97h-3vg8
Analyse technique
Le chargement de ressources externes est activé par défaut ; l’analyse d’un document contrôlé par un attaquant peut déclencher les requêtes.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28, dans la période retenue.
ImpactUn serveur qui analyse du HTML non fiable peut être amené à accéder à des services internes ou à des ressources de métadonnées cloud.
Versions affectées<= 20.14.6
Version corrigée21.0.0
ContournementDésactiver le chargement des pages iframe et des fichiers CSS externes.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
Publication2026-10-28T21:06:42Z
Mise à jour2026-10-28T21:06:43Z
Action recommandée
Mettre à niveau happy-dom vers 21.0.0 ou désactiver le chargement des ressources externes.
Sources
Priorisation DFS : P3 · 2 source(s).