CVE-2026-52725
Təsvir
Angular TypeScript/JavaScript və digər dillərdən istifadə edərək mobil və masaüstü veb tətbiqlərin qurulması üçün inkişaf platformasıdır. 22.0.0-rc.2, 21.2.15, 20.3.22 və 19.2.23 versiyalarından əvvəl @angular/core paketindəki problem dinamik komponent yaradılması zamanı skript icrası məhdudiyyətlərindən yan keçməyə imkan verir. Konkret olaraq, dinamik komponent instansiyalaşdırma mexanizmi (createComponent) komponentlərin birbaşa <script> və ya ad fəzası olan skript elementinə (məsələn, <svg:script>) quraşdırılmasını rədd edə bilməmişdir. Bu, skriptləri icra edən teq üzərində fərdi komponentlərin işə salınmasına imkan vermiş, nəticədə hücumçular skript icra edən hostları ələ keçirə və ya inyeksiya edə bilmişdir. Bu qüsur createComponent-ə ötürülən host elementi və ya selektor parametrinə nəzarət edə bilən hücumçuya Angular komponentini birbaşa <script> teqinə işə salmaq və ya quraşdırmaq imkanı verir ki, bu da etibarsız kodun icrasına və ya müştəri tərəfində saytlararası skriptinqə (XSS) gətirib çıxarır. Bu zəiflik 22.0.0-rc.2, 21.2.15, 20.3.22 və 19.2.23 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- angular angular19.2.23, 20.3.22, 21.2.15 və ya daha yeni versiya
- @angular/core21.2.15, 22.0.0-rc.2, 19.2.23, 20.3.22 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| angular angular | v ≤ 18.2.14, 19.0.0 ≤ v < 19.2.23, 20.0.0 ≤ v < 20.3.22, 21.0.0 ≤ v < 21.2.15, 22.0.0 | 19.2.23, 20.3.22, 21.2.15 |
| @angular/corenpm | 21.0.0-next.0 ≤ v < 21.2.15, 22.0.0-next.0 ≤ v < 22.0.0-rc.2, 19.0.0-next.0 ≤ v < 19.2.23, v ≤ 18.2.14, 20.0.0-next.0 ≤ v < 20.3.22 | 21.2.15, 22.0.0-rc.2, 19.2.23, 20.3.22 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.