PT-2025-42391 · Happy-Dom · Happy-Dom

Publicado 2025-10-15 · Atualizado 2025-10-16 · CVE-2025-62410

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas versões do happy-dom anteriores a 20.0.2

Descrição O software não isola suficientemente JavaScript não confiável, mesmo ao utilizar a flag --disallow-code-generation-from-strings. O script não confiável e a aplicação principal compartilham o mesmo Isolate/processo, permitindo que atacantes usem poluição de protótipo para sequestrar referências, como process, ou manipular o fluxo de controle alterando verificações de propriedades undefined. Esta é uma correção incompleta para um problema identificado anteriormente.

Recomendações Atualize para a versão 20.0.2 ou posterior.

Exploit

Correção

RCE

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2025-62410

GHSA-QPM2-6CQ5-7PQ5

Produtos afetados

Happy-Dom

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62410.json · Exploit
• https://github.com/capricorn86/happy-dom · Nota
• https://github.com/capricorn86/happy-dom/commit/f4bd4ebe3fe5abd2be2bcea1c07043c8b0b70eea · Nota
• https://github.com/capricorn86/happy-dom/security/advisories/GHSA-qpm2-6cq5-7pq5 · Nota
• https://twitter.com/CVEnew/status/1978545025048105010 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-62410 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1o87w9u/resumen_diario_de_vulnerabilidades_16102025 · Publicação no Reddit
• https://twitter.com/0dayPublishing/status/1978516053438136611 · Publicação no Twitter
• https://t.me/CVEtracker/35035 · Publicação no Telegram
• https://twitter.com/CCBalert/status/1978816244104024189 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qpm2-6cq5-7pq5 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1978647947647558060 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-62410 · Aviso do Fabricante