热点事件持续更新

happy-dom SSRF 漏洞修复被绕过

1 篇报道1 个报道来源4 小时前更新

先了解这件事

AI 综述

happy-dom（无 GUI 的 JavaScript 浏览器实现）被发现服务端请求伪造漏洞 CVE-2026-118660（CWE-918，CVSS 8.6），影响版本 < 21.0.0，官方在 21.0.0 发布修复。阿里先知的分析文章指出，该漏洞源于 iframe/CSS 默认加载导致的出网请求，修复版本选择在“连接”这一步设闸门。该分析进一步称，这一修复选择导致漏洞可被绕过：作者在 21.0.4 上进行了绕过实验，验证三处修复点与加载路径行为一致。漏洞原理与函数走读基于 20.14.6 源码，对照实验使用 21.0.0。

AI 根据报道生成 · 1 小时前更新

最新进展11月12日 12:31

CVE-2026-118660：happy-dom 服务端 SSRF 全链路分析与修复绕过

报道时间线

沿着报道，了解事件的不同侧面。

11月12日

12:31
阿里先知
CVE-2026-118660：happy-dom 服务端 SSRF 全链路分析与修复绕过
文章分析 happy-dom（无 GUI 的 JavaScript 浏览器实现）的 CVE-2026-118660 服务端请求伪造漏洞（CWE-918，CVSS 8.6，公告 GHSA-c8p4-j97h-3vg8），受影响版本 < 21.0.0（实测覆盖 17.6.3、20.14.6），修复版本 21.0.0。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。