CVE-2026-52725
Açıklama
Angular; TypeScript/JavaScript ve diğer dilleri kullanarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. 22.0.0-rc.2, 21.2.15, 20.3.22 ve 19.2.23 sürümlerinden önce, @angular/core paketindeki bir sorun, dinamik bileşen oluşturma sırasında betik yürütme kısıtlamalarının atlatılmasına izin vermektedir. Spesifik olarak, dinamik bileşen başlatma mekanizması (createComponent), bileşenlerin doğrudan bir <script> veya ad alanı tanımlı betik öğesine (örneğin <svg:script>) yerleştirilmesini reddetmemekteydi. Bu durum, betikleri çalıştıran bir etiket üzerinde özel bileşenlerin başlatılmasını sağlayarak saldırganların betik yürüten ana bilgisayarları ele geçirmesine veya bunlara betik enjekte etmesine olanak tanımaktaydı. Bu açık, createComponent fonksiyonuna iletilen host elementi veya selector parametresini kontrol edebilen bir saldırganın, bir Angular bileşenini doğrudan bir <script> etiketi üzerine başlatmasına veya yerleştirmesine imkan tanıyarak güvenilmeyen kodun çalıştırılmasına veya istemci tarafında siteler arası betik çalıştırma (XSS) saldırısına yol açmaktadır. Bu güvenlik açığı 22.0.0-rc.2, 21.2.15, 20.3.22 ve 19.2.23 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- angular angular19.2.23, 20.3.22, 21.2.15 ya da sonraki bir sürüm
- @angular/core21.2.15, 22.0.0-rc.2, 19.2.23, 20.3.22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| angular angular | v ≤ 18.2.14, 19.0.0 ≤ v < 19.2.23, 20.0.0 ≤ v < 20.3.22, 21.0.0 ≤ v < 21.2.15, 22.0.0 | 19.2.23, 20.3.22, 21.2.15 |
| @angular/corenpm | 21.0.0-next.0 ≤ v < 21.2.15, 22.0.0-next.0 ≤ v < 22.0.0-rc.2, 19.0.0-next.0 ≤ v < 19.2.23, v ≤ 18.2.14, 20.0.0-next.0 ≤ v < 20.3.22 | 21.2.15, 22.0.0-rc.2, 19.2.23, 20.3.22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.