Veille sécuritéFrontend
P4Moyenne
Happy DOM ne valide pas correctement certains attributs Domain des cookies et peut aussi faire correspondre des hôtes partageant un suffixe sans respecter les limites entre labels DNS. Dans des scénarios de rendu ou de prérendu côté serveur, cela peut permettre l’injection de cookies ou la fixation de session; mettre à jour vers la version 20.14.6 ou ultérieure.
JavaScript
IdentifiantCVE-2026-118661
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif20.14.6
Source : NVD — CVE-2026-118661
Analyse technique
Un cookie peut être accepté avec un domaine sans rapport avec l’origine qui le définit, y compris un suffixe public; la vérification de correspondance d’hôte ne garantit pas une frontière de label DNS.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-28 à 21:16:56 UTC, soit le 2026-10-28 à 23:16:56 +02:00, dans la période retenue.
ImpactDans certaines applications de rendu ou de prérendu côté serveur, un attaquant peut injecter un cookie ou contribuer à une fixation de session.
Versions affectéesVersions antérieures à 20.14.6.
Version corrigée20.14.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-28T23:16:56.267+02:00
Mise à jour2026-10-29T17:52:59.287+02:00
Action recommandée
Mettre à jour vers Happy DOM 20.14.6 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).