Happy DOMのサーバー描画に、内部ネットワークへの不正な中継を許す脆弱性
Summary
Happy DOMのserver-rendererパッケージに、認証なしで内部サービスへのリクエストを中継されてしまう脆弱性（CVSS 7.5）が見つかりました。プロトコル相対のパスを使うと、サーバーから到達できる任意のHTTPやHTTPSの宛先へ取得が向けられ、応答のヘッダーと本文が攻撃者に返されます。影響を受けるのは21.0.2より前の版で、21.0.2で修正されています。Happy DOMを使っている場合は、21.0.2以降に更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Happy DOMのserver-rendererパッケージに、認証なしで内部サービスへのリクエストを中継されてしまう脆弱性（CVSS 7.5）が見つかりました。プロトコル相対のパスを使うと、サーバーから到達できる任意のHTTPやHTTPSの宛先へ取得が向けられ、応答のヘッダーと本文が攻撃者に返されます。影響を受けるのは21.0.2より前の版で、21.0.2で修正されています。Happy DOMを使っている場合は、21.0.2以降に更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| capricorn86 | happy-dom | — | — |
Original description The description as published by the source.
Happy DOM is a JavaScript implementation of a web browser without its graphical user interface. Prior to 21.0.2, the Happy DOM server-renderer package's ServerRendererServer accepts unauthenticated HTTP/2 requests and resolves attacker-controlled :path values against server.targetOrigin in #onIncomingRequest in packages/@happy-dom/server-renderer/src/ServerRendererServer.ts without confirming that the resolved origin remains trusted before calling fetch. A protocol-relative path can change the destination to an arbitrary HTTP or HTTPS endpoint reachable by the server, including local and internal services, and the proxy relays the fetched response headers and body to the requester. This issue is fixed in version 21.0.2.
Source: CVE.org (CVE Program・cvelistV5) NVD