CVE-2026-50184
Açıklama
Angular; TypeScript/JavaScript ve diğer diller kullanılarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. 22.0.0-rc.2, 21.2.15, 20.3.22 ve 19.2.23 sürümlerinden önce, @angular/service-worker paketindeki bir sorun, istek yeniden yapılandırması sırasında istek politikası (request-policy) uygulamasının bütünlüğünü bozmaktadır. Angular Service Worker, eşleşen varlıklar için ağ isteklerini yakaladığında, dahili bir yardımcı fonksiyon kullanarak yeni bir Request nesnesi yeniden yapılandırır. Bu yeniden yapılandırma işlemi sırasında yardımcı fonksiyon, istemci tarafından tanımlanan açık güvenlik parametrelerini temizler: kimlik bilgileri yapılandırması (örneğin credentials: 'omit') ve HTTP önbellek modu yapılandırması (örneğin cache: 'no-store'). Bunlar standart tarayıcı varsayılan parametrelerine (credentials: 'same-origin' ve varsayılan HTTP önbellek özellikleri) geri döndürülür. Bu durum, istemci tarafındaki geliştiricinin açıkça hariç tutulmasını talep ettiği giden isteklere tarayıcının aktif kimlik bilgilerini (çerezler veya Authorization başlıkları gibi) eklemesine neden olarak potansiyel oturum sızıntılarına yol açar. Ek olarak, özel veya önbelleğe alınamaz kaynakların service worker motoru tarafından önbelleğe alınmasına neden olarak, çıkış yaptıktan sonra özel sayfa durumlarının istemcinin yerel önbelleği içinde erişilebilir veya kalıcı olmasına sebebiyet verir. Bu güvenlik açığı 22.0.0-rc.2, 21.2.15, 20.3.22 ve 19.2.23 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- angular angular19.2.23, 20.3.22, 21.2.15 ya da sonraki bir sürüm
- @angular/service-worker22.0.0-rc.2, 21.2.15, 20.3.22, 19.2.23 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| angular angular | v ≤ 18.2.14, 19.0.0 ≤ v < 19.2.23, 20.0.0 ≤ v < 20.3.22, 21.0.0 ≤ v < 21.2.15, 22.0.0 | 19.2.23, 20.3.22, 21.2.15 |
| @angular/service-workernpm | 22.0.0-next.0 ≤ v < 22.0.0-rc.2, 21.0.0-next.0 ≤ v < 21.2.15, 20.0.0-next.0 ≤ v < 20.3.22, 19.0.0-next.0 ≤ v < 19.2.23, v ≤ 18.2.14 | 22.0.0-rc.2, 21.2.15, 20.3.22, 19.2.23 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.