Happy DOM 导入别名注入漏洞 PoC 公开
热点事件持续更新
Happy DOM 导入别名注入漏洞 PoC 公开
1 篇报道1 个报道来源3 小时前更新
先了解这件事
AI 综述
GitHub 安全公告库公开了 happy-dom 导入别名注入漏洞的 PoC：攻击者若能向通过 Happy DOM 执行 JavaScript 的应用提供模块源码，就能让非法的 import 声明被改写成可执行代码。PoC 已触达 Node.js 宿主的 process、取得 node:fs 并在宿主文件系统创建证明目录。 该问题被认定为 GHSA-6q6h-j7hj-3r64 / CVE-2026-33943 修复不完整后留下的另一条注入路径，受影响版本延续至测试时的最新版 [email protected]；同一 PoC 在 [email protected] 上不触发。
AI 根据报道生成 · 2 小时前更新
最新进展10月24日 06:06
Happy DOM 修复不完整：未校验 import 别名可致宿主代码执行（CVE-2026-33943 后续）报道时间线
沿着报道，了解事件的不同侧面。
10月24日
- GitHub 安全公告库 (GHSA)精选Happy DOM 修复不完整：未校验 import 别名可致宿主代码执行（CVE-2026-33943 后续）
[email protected] 的 ESM 编译器未校验 import 的本地别名，会把非法的 import 声明改写成合法的解构默认值并执行，这是 GHSA-6q6h-j7hj-3r64 / CVE-2026-33943 修复不完整留下的另一条注入路径。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。