JVNDB-2026-009684

capricorn86のHappy DOMにおける複数の脆弱性

Happy DOMは、グラフィカルユーザーインターフェイスを持たないWebブラウザのJavaScript実装です。バージョン20.8.9より前のバージョンでは、`fetch(..., {credentials: "include"})`が使用された場合に、リクエストのターゲットURLではなく現在のページのオリジン（`window.location`）からクッキーを添付することがあります。これにより、オリジンAのクッキーが宛先Bに漏洩する可能性がありました。バージョン20.8.9でこの問題は修正されました。

capricorn86

• Happy DOM 20.8.9 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : fetch credentials include uses page-origin cookies instead of target-origin cookies  Advisory  capricorn86/happy-dom  GitHub

1. 送信データへの重要な情報の挿入(CWE-201) [その他]
2. 認可されていない行為者への個人情報の漏えい(CWE-359) [その他]

1. CVE-2026-34226

1. National Vulnerability Database (NVD) : CVE-2026-34226
2. 関連文書 : fix: [#2117] Fixes issue related to cookies from the current origin b…  capricorn86/happy-dom@68324c2  GitHub
3. 関連文書 : fix: [#0] Fixes issue where cookies from the current origin was being forwarded to the target origin in fetch requests by capricorn86  Pull Request #2117  capricorn86/happy-dom  GitHub
4. 関連文書 : Release v20.8.9  capricorn86/happy-dom  GitHub
5. 関連文書 : happy-dom/packages/happy-dom/src/fetch/utilities/FetchRequestHeaderUtility.ts at f8d8cad41e9722fab9eefb9dfb3cca696462e908  capricorn86/happy-dom  GitHub

• [2026年04月02日]
    掲載