CVE-2026-34226
Publiée le 2026-03-27 · Dernière modification le 2026-10-26
Les versions de Happy DOM antérieures à la 20.8.9 joignent incorrectement des cookies provenant de l'origine de la page actuelle plutôt que de l'URL cible prévue lors de certaines requêtes fetch. Un attaquant peut exploiter cette faille pour voler des cookies sensibles d'une origine et les envoyer vers une destination qu'il contrôle. Cela peut être déclenché à distance via le réseau, sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Happy DOM is a JavaScript implementation of a web browser without its graphical user interface. Versions prior to 20.8.9 may attach cookies from the current page origin (`window.location`) instead of the request target URL when `fetch(..., { credentials: "include" })` is used. This can leak cookies from origin A to destination B. Version 20.8.9 fixes the issue.