安全攻防
morning
CVE-2026-118660：happy-dom 服务端 SSRF 全仓库分析
摘要
写在前面 happy-dom 是一个用 JavaScript 实现的 DOM 运行时。它被大量前端项目放进 Vitest / Jest 的测试环境，也被用在 SSR 预渲染、HTML 转换和爬虫里。这些场景有一个共同点： HTML 往往来自不可信的一方 ——用户评论、富文本、抓回来的第三方页面、上传的模板。 在浏览器里，页面里写了 ，浏览器就会去加载它，这是规范行为，没有人觉得奇怪。问题在于，当同...
happy
dom
HTML
DOM
JavaScript
Web
Fetch
CSS
运行时
Vitest
2026-11-12
1 阅读
约9分钟阅读
先知社区
字号:
写在前面 happy-dom 是一个用 JavaScript 实现的 DOM 运行时。它被大量前端项目放进 Vitest / Jest 的测试环境，也被用在 SSR 预渲染、HTML 转换和爬虫里。这些场景有一个共同点： HTML 往往来自不可信的一方 ——用户评论、富文本、抓回来的第三方页面、上传的模板。 在浏览器里，页面里写了