CVE-2025-59052

Angular; TypeScript/JavaScript ve diğer dilleri kullanarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. Angular, sunucu tarafı oluşturma (SSR) sırasında isteğe özel durumu tutmak için bir DI konteyneri ("platform injector") kullanır. Tarihsel nedenlerle bu konteyner, JavaScript modül kapsamlı bir küresel değişken olarak saklanmıştır. Birden fazla istek eşzamanlı olarak işlendiğinde, istemeden küresel injector durumunu paylaşabilir veya üzerine yazabilirler. Pratik anlamda bu durum, bir isteğin tamamen farklı bir istek için amaçlanan verilerle yanıt vermesine yol açarak, oluşturulan sayfada veya yanıt üstbilgilerinde yer alan verilerin veya token'ların sızmasına neden olabilir. Bir saldırgan, oluşturulmuş bir yanıt alan herhangi bir trafiği göndermek için ağ erişimine sahip olduğu sürece, çok sayıda istek gönderip ardından yanıtları bilgi sızıntıları açısından inceleyebilmiş olabilir. `bootstrapApplication`, `getPlatform` ve `destroyPlatform` API'leri savunmasızdır ve yalnızca SSR ile ilgili kırıcı değişiklikler gerektirmiştir. Sorun, tüm aktif sürüm hatlarında ve v21 ön sürümünde düzeltilmiştir. Yamalanmış paketler arasında `@angular/platform-server` 21.0.0-next.3, 20.3.0, 19.2.15 ve 18.2.14 ile `@angular/ssr` 21.0.0-next.3, 20.3.0, 19.2.16 ve 18.2.21 yer almaktadır. Çeşitli geçici çözümler mevcuttur: Sunucu Rotaları veya derleyici seçenekleri aracılığıyla SSR'yi devre dışı bırakın, özel `bootstrap` fonksiyonlarındaki tüm asenkron davranışları kaldırın, uygulama kodundaki `getPlatform()` kullanımlarını kaldırın ve/veya sunucu derlemesinin `ngJitMode` değerini false olarak tanımladığından emin olun.