CVE-2026-46417
Açıklama
Angular; TypeScript/JavaScript ve diğer dilleri kullanarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. 22.0.0-next.12, 21.2.13, 20.3.21 ve 19.2.22 sürümlerinden önce, @angular/platform-server bileşeninde bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Sorun, sunucu taraflı işleme (SSR) motorunun, işleme giriş noktalarına sağlanan istek URL'sini işleme biçiminden kaynaklanmaktadır. İşleme motoruna mutlak formda bir URL (örneğin, http://evil.com) iletildiğinde, dahili ServerPlatformLocation manipüle edilerek saldırgan tarafından kontrol edilen alan adının "güncel" ana makine adı olarak benimsenmesi sağlanabilir. Sonuç olarak, tüm göreceli HttpClient istekleri veya PlatformLocation.hostname referansları saldırganın kontrolündeki sunucuya yönlendirilir ve bu durum potansiyel olarak dahili API'lerin veya meta veri servislerinin ifşa olmasına yol açar. Bu zafiyet 22.0.0-next.12, 21.2.13, 20.3.21 ve 19.2.22 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- angular angular19.2.22, 20.3.21, 21.2.13 ya da sonraki bir sürüm
- @angular/platform-server22.0.0-next.12, 21.2.13, 20.3.21, 19.2.22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| angular angular | v ≤ 18.2.14, 19.0.0 ≤ v < 19.2.22, 20.0.0 ≤ v < 20.3.21, 21.0.0 ≤ v < 21.2.13, 22.0.0 | 19.2.22, 20.3.21, 21.2.13 |
| @angular/platform-servernpm | 22.0.0-next.0 ≤ v < 22.0.0-next.12, 21.0.0-next.0 ≤ v < 21.2.13, 20.0.0-next.0 ≤ v < 20.3.21, 19.0.0-next.0 ≤ v < 19.2.22, v ≤ 18.2.14 | 22.0.0-next.12, 21.2.13, 20.3.21, 19.2.22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.