CVE-2026-54264
Təsvir
Angular, TypeScript/JavaScript və digər dillərdən istifadə edərək mobil və masaüstü veb tətbiqləri yaratmaq üçün nəzərdə tutulmuş inkişaf platformasıdır. 22.0.1, 21.2.17 və 20.3.25 versiyalarından əvvəl Angular freymvorkunun @angular/service-worker paketində məlumat sızması zəifliyi mövcuddur. Service Worker aktivləri götürərkən orijinal sorğudan gələn metadata-nı (məsələn, başlıqları) saxlayır. Lakin çarpaz mənşəli yönləndirmələr zamanı Service Worker həssas başlıqları silmir, bu da Fetch yönləndirmə alqoritminin pozulmasına səbəb olur. Bu, uzaqdakı hücumçuya etibarsız xarici mənşəyə çarpaz mənşəli yönləndirməni tetikləyərək həssas etibarnamələri (məsələn, Authorization tokenlərini, Proxy-Authorization etibarnamələrini və ya sessiya kukilərini) əldə etməyə imkan verir. Bu zəiflik 22.0.1, 21.2.17 və 20.3.25 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- angular angular20.3.25, 21.2.17, 22.0.1 və ya daha yeni versiya
- @angular/service-worker22.0.1, 21.2.17, 20.3.25 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| angular angular | v ≤ 19.2.25, 20.0.0 ≤ v < 20.3.25, 21.0.0 ≤ v < 21.2.17, 22.0.0 ≤ v < 22.0.1 | 20.3.25, 21.2.17, 22.0.1 |
| @angular/service-workernpm | 22.0.0-next.0 ≤ v < 22.0.1, 21.0.0-next.0 ≤ v < 21.2.17, 20.0.0-next.0 ≤ v < 20.3.25, v ≤ 19.2.25 | 22.0.1, 21.2.17, 20.3.25 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.