何が起きたか
Happy DOM の ESM コンパイラは、名前付き import の別名を JavaScript の識別子として検証せずに生成コードへ埋め込んでいました。細工した import 文によって、Node.js ホストの process から node:fs を取得するなど、ホスト側で任意のコードを実行できます。以前の CVE-2026-33943 の修正が export 側だけにとどまっていた、修正漏れにあたります。
やること
21.0.4 以降へ更新します。影響を受けるのは enableJavaScriptEvaluation を有効にし、外部から渡された HTML やモジュールを処理している場合です。SSR、プレビュー、スクレイピング、テスト基盤などで信頼できない HTML を評価している場合は、更新するまで JavaScript 評価を無効にしてください。
出典
Happy DOM のセキュリティ勧告github.com英語 ↗GitHub Advisory Databasegithub.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。