CVE-2026-54264
Açıklama
Angular; TypeScript/JavaScript ve diğer dilleri kullanarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. 22.0.1, 21.2.17 ve 20.3.25 sürümlerinden önce, Angular framework'ünün @angular/service-worker paketinde bir bilgi ifşası zafiyeti bulunmaktadır. Service Worker varlıkları getirdiğinde, orijinal istekten gelen meta verileri (başlıklar gibi) korur. Ancak, çapraz kökenli yönlendirmelerde (cross-origin redirects), Service Worker hassas başlıkları temizlemeyi başaramaz ve bu durum Fetch yönlendirme algoritmasını ihlal eder. Bu durum, güvenilmeyen harici bir kökene çapraz kökenli yönlendirme tetikleyerek uzak bir saldırganın hassas kimlik bilgilerini (örneğin, Authorization belirteçleri, Proxy-Authorization kimlik bilgileri veya oturum çerezleri) elde etmesine olanak tanır. Bu zafiyet 22.0.1, 21.2.17 ve 20.3.25 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- angular angular20.3.25, 21.2.17, 22.0.1 ya da sonraki bir sürüm
- @angular/service-worker22.0.1, 21.2.17, 20.3.25 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| angular angular | v ≤ 19.2.25, 20.0.0 ≤ v < 20.3.25, 21.0.0 ≤ v < 21.2.17, 22.0.0 ≤ v < 22.0.1 | 20.3.25, 21.2.17, 22.0.1 |
| @angular/service-workernpm | 22.0.0-next.0 ≤ v < 22.0.1, 21.0.0-next.0 ≤ v < 21.2.17, 20.0.0-next.0 ≤ v < 20.3.25, v ≤ 19.2.25 | 22.0.1, 21.2.17, 20.3.25 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.