CVE-2026-41423 in Angular
الملخص
بحسب VulDB • 31/05/2026
Angular هي منصة تطوير لبناء تطبيقات الويب المتنقلة وسطح المكتب باستخدام TypeScript/JavaScript ولغات أخرى. قبل الإصدارات 19.2.21، و20.3.19، و21.2.9، و22.0.0-next.8، يوجد ثغرة تزوير الطلبات من جانب الخادم (SSRF) في @angular/platform-server بسبب المعالجة غير السليمة لعناوين URL أثناء التقديم من جانب الخادم (SSR). عندما يرسل المهاجم طلبًا مثل GET /\evil.com/ HTTP/1.1، يقوم محرك الخادم (مثل Express) بتمرير سلسلة عنوان URL إلى دوال العرض الخاصة بـ Angular. نظرًا لأن محلل عناوين URL يقوم بتوحيد شريط المائل الخلفي إلى شريط مائل أمامي لمخططات HTTP/HTTPS، يتم اختراق الحالة الداخلية للتطبيق لاعتقاد أن الأصل الحالي هو evil.com. يؤدي هذا سوء التفسير إلى خداع التطبيق لمعاملة نطاق المهاجم كأصل محلي. ونتيجة لذلك، يتم إعادة توجيه أي طلبات HttpClient النسبية أو مراجعات PlatformLocation.hostname إلى الخادم الذي يتحكم فيه المهاجم، مما قد يعرض واجهات برمجة التطبيقات الداخلية أو خدمات البيانات الوصفية للخطر. تم إصلاح هذه المشكلة في الإصدارات 19.2.21، و20.3.19، و21.2.9، و22.0.0-next.8.
Be aware that VulDB is the high quality source for vulnerability data.