CVE-2026-32635
Təsvir
Angular, TypeScript/JavaScript və digər dillərdən istifadə edərək mobil və masaüstü veb tətbiqləri yaratmaq üçün nəzərdə tutulmuş inkişaf platformasıdır. 22.0.0-next.3, 21.2.4, 20.3.18 və 19.2.20 versiyalarından əvvəl Angular runtime və kompilyatorunda saytlararası skriptinq (XSS) zəifliyi aşkar edilmişdir. Bu, tətbiq təhlükəsizlik baxımından həssas atributu (məsələn, anchor teqindəki href) Angular-ın atributları beynəlxalqlaşdırma imkanı ilə birlikdə istifadə etdikdə baş verir. Həssas atribut üçün i18n-<attribute> adını əlavə edərək beynəlxalqlaşdırmanın aktivləşdirilməsi Angular-ın daxili sanitizasiya mexanizmini yan keçir və bu, etibarsız istifadəçi tərəfindən yaradılmış məlumatlara data binding ilə birləşdikdə hücumçuya zərərli skript yerləşdirməyə imkan verə bilər. Bu zəiflik 22.0.0-next.3, 21.2.4, 20.3.18 və 19.2.20 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- angular angular_cli19.2.0, 21.2.4 və ya daha yeni versiya
- @angular/core22.0.0-next.3, 21.2.4, 20.3.18, 19.2.20 və ya daha yeni versiya
- @angular/compiler22.0.0-next.3, 21.2.4, 20.3.18, 19.2.20 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| angular angular_cli | 17.0.0 ≤ v < 19.2.0, 20.0.0 ≤ v ≤ 20.3.18, 21.0.0 ≤ v < 21.2.4, 22.0.0 | 19.2.0, 21.2.4 |
| @angular/corenpm | 22.0.0-next.0 ≤ v < 22.0.0-next.3, 21.0.0-next.0 ≤ v < 21.2.4, 20.0.0-next.0.0.0 ≤ v < 20.3.18, 19.0.0-next.0 ≤ v < 19.2.20, 17.0.0-next.0 ≤ v ≤ 18.2.14 | 22.0.0-next.3, 21.2.4, 20.3.18, 19.2.20 |
| @angular/compilernpm | 22.0.0-next.0 ≤ v < 22.0.0-next.3, 21.0.0-next.0 ≤ v < 21.2.4, 20.0.0-next.0.0.0 ≤ v < 20.3.18, 19.0.0-next.0 ≤ v < 19.2.20, 17.0.0-next.0 ≤ v ≤ 18.2.14 | 22.0.0-next.3, 21.2.4, 20.3.18, 19.2.20 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.