CVE-2026-88060
Təsvir
Angular, TypeScript/JavaScript və digər dillərdən istifadə edərək mobil və masaüstü veb tətbiqləri yaratmaq üçün nəzərdə tutulmuş inkişaf platformasıdır. 20.3.30, 21.2.22 və 22.1.4 versiyalarından əvvəl, @angular/platform-server daxilindəki Angular server-side rendering (SSR), noscript, iframe, noembed və noframes kimi fallback raw-content elementlərinə daxil edilmiş şablon məzmununda etibarsız girişləri seriyallaşdırır. Domino seriyallaşdırıcısının fallbackRawContentTags keçidi template.content tərəfindən istifadə edilən DocumentFragment-də dayandığı üçün xmp, style, script, şərhlər və ya mətn düyünlərindəki uyğun bağlayıcı teqlər escape edilmir. Şərhlər və ya mətn düyünləri ilə standart interpolasiya rahatlaşdırılmış sxemlər olmadan əlçatandır; hərfi xmp və ya style üçün CUSTOM_ELEMENTS_SCHEMA və ya NO_ERRORS_SCHEMA tələb olunur, Renderer2 imperativ DOM konstruksiyası isə şərtsiz olaraq təsirlənir. HTML5 RAWTEXT brauzer analizi escape edilməmiş bağlayıcı teqlə rastlaşdıqda, fallback konteynerindən çıxır və sonrakı nişanlamaları aktiv DOM elementləri kimi şərh edir ki, bu da ixtiyari JavaScript kodunun icrasına imkan verir. Bu problem 20.3.30, 21.2.22 və 22.1.4 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- angular angular20.3.30, 21.2.22, 22.1.4 və ya daha yeni versiya
- @angular/platform-server22.1.4, 21.2.22, 20.3.30 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| angular angular | 19.0.0 ≤ v ≤ 19.2.25, 20.0.0 ≤ v < 20.3.30, 21.0.0 ≤ v < 21.2.22, 22.0.0 ≤ v < 22.1.4 | 20.3.30, 21.2.22, 22.1.4 |
| @angular/platform-servernpm | 22.0.0 ≤ v < 22.1.4, 21.0.0 ≤ v < 21.2.22, 20.0.0 ≤ v < 20.3.30, v ≤ 19.2.25 | 22.1.4, 21.2.22, 20.3.30 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.