CVE-2026-50169
Açıklama
Angular; TypeScript/JavaScript ve diğer dilleri kullanarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. 22.0.0-rc.2, 21.2.15, 20.3.22 ve 19.2.23 sürümlerinden önce, @angular/service-worker paketindeki bir sorun, istek yeniden yapılandırması sırasında istek politikası (request-policy) uygulamasının bütünlüğünü bozmaktadır. Angular Service Worker, eşleşen varlıklar için ağ isteklerini yakaladığında, dahili bir yardımcı fonksiyon kullanarak yeni bir Request nesnesi yeniden yapılandırır. Bu yeniden yapılandırma işlemi sırasında yardımcı fonksiyon, istemci tarafından tanımlanan katı istek yönlendirme politikası yapılandırmasını (örneğin redirect: 'error') kaldırarak tarayıcının varsayılan 'follow' stratejisine geri döner. Hedef web uygulaması katı bir politika ile istemci tarafı istekleri yaparsa (örneğin, yönlendirmeleri otomatik olarak takip etmek yerine bir ağ hatası bekliyorsa), service worker bu talimatı baypas eder ve diğer hedeflere yönelik HTTP 3xx yönlendirmelerini otomatik olarak takip eder. Bu durum, istenmeyen bir ara sunucu/aracı ("Confused Deputy") gibi davranılmasına neden olabilir ve genel dinamik rotaların hassas rotalara yönlendirilmesi durumunda çerezlerin/kimlik bilgilerinin açığa çıkmasına veya aynı kökenli oturum kısıtlı verilerin sızdırılmasına yol açabilir. Bu güvenlik açığı 22.0.0-rc.2, 21.2.15, 20.3.22 ve 19.2.23 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- angular angular19.2.23, 20.3.22, 21.2.15 ya da sonraki bir sürüm
- @angular/service-worker22.0.0-rc.2, 20.3.22, 19.2.23, 21.2.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| angular angular | v ≤ 18.2.14, 19.0.0 ≤ v < 19.2.23, 20.0.0 ≤ v < 20.3.22, 21.0.0 ≤ v < 21.2.15, 22.0.0 | 19.2.23, 20.3.22, 21.2.15 |
| @angular/service-workernpm | 22.0.0-next.0 ≤ v < 22.0.0-rc.2, 20.0.0-next.0 ≤ v < 20.3.22, 19.0.0-next.0 ≤ v < 19.2.23, v ≤ 18.2.14, 21.0.0-next.0 ≤ v < 21.2.15 | 22.0.0-rc.2, 20.3.22, 19.2.23, 21.2.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.