当前位置：首页 > news >正文

Happy DOM曝CVSS 9.4严重RCE漏洞，PoC已公开（CVE-2025-61927）

news 2025/10/14 7:48:49

Happy DOM VM逃逸漏洞CVE-2025-61927

流行的JavaScript包Happy DOM曝出严重安全漏洞，该漏洞可使攻击者逃逸Node.js虚拟机（VM）上下文并在主机系统上执行任意代码。该漏洞被追踪为CVE-2025-61927，CVSSv4评分为9.4。

Happy DOM是一款用于测试、爬取和服务器端渲染（SSR）的浏览器模拟工具。据安全公告显示："Happy DOM v19及更低版本存在安全漏洞，可能导致系统遭受远程代码执行（RCE）攻击。"

漏洞背景

Happy DOM是基于WHATWG标准的无图形界面浏览器JavaScript实现，每周下载量超过270万次，广泛应用于测试环境和SSR框架。

该漏洞源于Happy DOM在Node.js VM上下文中处理JavaScript执行的方式。项目方解释称："Node.js VM上下文并非隔离环境，若用户在Happy DOM VM上下文中运行不受信任的JavaScript代码，可能逃逸VM并获取进程级功能访问权限。"

技术细节

本质上，该漏洞允许不受信任的脚本访问Node.js进程级对象，可能导致任意代码执行。攻击者可通过CommonJS或ESM模块实现不同级别的控制：

通过CommonJS可获取require()函数导入模块
通过ESM虽无法获取import或require，但仍可访问process.pid等进程级信息

漏洞源自JavaScript的Function继承链。所有类和函数都继承自Function，后者可从字符串评估代码。公告解释称："通过遍历构造函数链可获取进程级Function，由于Function可从字符串评估代码，因此可在进程级执行代码。"

缓解措施

运行Node.js时添加--disallow-code-generation-from-strings标志可阻断此攻击向量，该标志会禁用进程级基于字符串的动态代码执行。

PoC示例

以下简单概念验证展示了风险：

const { Window } = require('happy-dom');
const window = new Window({ console });
window.document.write(`<script>const process = this.constructor.constructor('return process')();const require = process.mainModule.require;console.log('Files:', require('fs').readdirSync('.').slice(0,3));</script>
`);

该PoC通过获取process对象、加载Node内置fs模块并列出服务器文件，证实了任意命令访问能力。