CVE-2026-50556

Angular, TypeScript/JavaScript və digər dillərdən istifadə edərək mobil və masaüstü veb tətbiqləri yaratmaq üçün nəzərdə tutulmuş inkişaf platformasıdır. 22.0.0-rc.2, 21.2.16, 20.3.24 və 19.2.25 versiyalarından əvvəl, @angular/platform-server-in DOM emulyasiyası asılılığında (domino) <noscript> elementlərinin məzmunu seriyallaşdırılarkən saytlararası skriptinq (XSS) boşluğu mövcuddur. Şablon bağlamaları (məsələn, {{ value }} və ya [textContent]) vasitəsilə <noscript> elementi daxilində dinamik mətn məzmunu render edilərkən, şablon mühərriki brauzerin məzmunu təhlükəsiz şəkildə render etməsini gözləyir. Server Tərəfli Renderinq (SSR) zamanı domino skriptlərin aktiv olduğu şəkildə konfiqurasiya edilir, bu isə <noscript>-in xammə mətn (raw-text) elementi kimi qəbul edildiyi anlamına gəlir. Lakin domino-nun seriyallaşdırıcısı DOM seriyallaşdırması zamanı bağlanış teginin escape edilməsini tələb edən xammə mətn elementləri siyahısından <noscript>-i tamamilə çıxarmışdı. Nəticədə, bağlanmış dinamik mətndə rast gəlinən hər hansı </noscript> ifadəsi heç bir halda escape edilmir. Escape edilməmiş bağlanış tegi birbaşa çıxış HTML-nə seriyallaşdırılır (məsələn, <noscript></noscript><script>alert(1)</script></noscript>). Brauzer tərəfindən analiz edildikdə, bu, <noscript> blokunu vaxtından əvvəl bağlayır və injeksiya edilmiş <script> blokunun istifadəçinin brauzer kontekstində icra olunmasına şərait yaradaraq eyni mənşəli saytlararası skriptinqə (XSS) səbəb olur. Bu boşluq 22.0.0-rc.2, 21.2.16, 20.3.24 və 19.2.25 versiyalarında aradan qaldırılmışdır.