CVE-2026-88057
Açıklama
Angular; TypeScript/JavaScript ve diğer dilleri kullanarak mobil ve masaüstü web uygulamaları oluşturmak için kullanılan bir geliştirme platformudur. 20.3.28, 21.2.20 ve 22.1.0 sürümlerinden önce, @angular/core ve @angular/compiler içerisindeki Angular derleyicisi ve çalışma zamanı, SecurityContext'in somut ana bilgisayar öğesi yerine bildiren direktif veya bileşen seçicisinden türetilmesi nedeniyle güvenlik açısından hassas direktif ana bilgisayar bağlamaları (host bindings) için temizleyiciyi (sanitizer) atlayabilir veya yanlış olanı seçebilirdi. Bu uyumsuzluğa hostDirectives kompozisyonu, miras alınan HostBinding bildirimleri, özel bir hostElement veya dinamik direktiflerle createComponent kullanımı, SVG/MathML ad alanı öğeleri ve :not(...) gibi etiketten bağımsız seçiciler aracılığıyla erişilebilir. Bu nedenle saldırgan tarafından kontrol edilen href, src, action, xlink:href veya data değerleri, Angular'ın yerleşik temizleyicisine takılmadan DOM özniteliklerine ulaşabilir ve kullanıcının tarayıcı bağlamında rastgele JavaScript kodu çalıştırabilir. Yükseltme yapamayan uygulamalar, atama öncesinde SecurityContext.URL ile DomSanitizer.sanitize yöntemini kullanabilir veya girdileri doğrulanmış HTTP ve HTTPS URL şemalarıyla kısıtlayabilir. Bu sorun 20.3.28, 21.2.20 ve 22.1.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- angular angular20.3.28, 21.2.20, 22.1.0 ya da sonraki bir sürüm
- @angular/core22.1.0, 21.2.20, 20.3.28 ya da sonraki bir sürüm
- @angular/compiler22.1.0, 21.2.20, 20.3.28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| angular angular | 19.0.0 ≤ v ≤ 19.2.25, 20.0.0 ≤ v < 20.3.28, 21.0.0 ≤ v < 21.2.20, 22.0.0 ≤ v < 22.1.0 | 20.3.28, 21.2.20, 22.1.0 |
| @angular/corenpm | 22.0.0 ≤ v < 22.1.0, 21.0.0 ≤ v < 21.2.20, 20.0.0 ≤ v < 20.3.28, v ≤ 19.2.25 | 22.1.0, 21.2.20, 20.3.28 |
| @angular/compilernpm | 22.0.0 ≤ v < 22.1.0, 21.0.0 ≤ v < 21.2.20, 20.0.0 ≤ v < 20.3.28, v ≤ 19.2.25 | 22.1.0, 21.2.20, 20.3.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.