Veille sécuritéFrontend
P3Élevée
Le serveur de rendu de Happy DOM avant 21.0.2 accepte des requêtes HTTP/2 non authentifiées et peut suivre une destination contrôlée par l’attaquant lors de la résolution du chemin. Le serveur peut ainsi accéder à des services HTTP(S) internes et en relayer la réponse; mettre à jour vers 21.0.2.
JavaScript
IdentifiantCVE-2026-118659
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif21.0.2
Source : NVD — CVE-2026-118659
Analyse technique
La valeur `:path` peut modifier l’origine de destination après résolution contre `server.targetOrigin`; aucune vérification ne confirme que l’origine demeure approuvée avant l’appel à fetch. Les en-têtes et le corps de la réponse sont relayés au demandeur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T21:16:55.967Z, dans la période demandée.
ImpactRequêtes serveur vers des services internes ou arbitraires accessibles, avec relais de leurs réponses à l’appelant.
Versions affectéesHappy DOM antérieur à 21.0.2
Version corrigée21.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-28T21:16:55.967Z
Mise à jour2026-10-29T19:17:18.813Z
Action recommandée
Mettre à jour Happy DOM vers 21.0.2 et limiter l’exposition réseau du serveur de rendu aux destinations nécessaires.
Sources
Priorisation DFS : P3 · 1 source(s).