CVE-2026-88060 in Angular
الملخص
بحسب VulDB • 10/09/2026
Angular هو منصة تطوير لبناء تطبيقات الويب المتنقلة ومطابقة سطح المكتب باستخدام TypeScript/JavaScript ولغات أخرى. قبل الإصدارات 20.3.30، و21.2.22، و22.1.4، كانت عملية التقديم الجانبي للسيرفر (SSR) في @angular/platform-server تُسلسل مدخلات غير موثوقة داخل محتوى القالب المتداخل ضمن عناصر المحتوى الخام الاحتياطي مثل noscript، iframe، noembed، وnoframes. توقف اجتياز وسوم العناصر الخالية من السرد (fallbackRawContentTags) بواسطة مُسلسل Domino عند DocumentFragment المستخدم في template.content، مما أدى إلى عدم تهريب الوسومات الإغلاق المطابقة في xmp، style، script، التعليقات، أو عقد النص. التداخل القياسي مع تعليقات أو عقد نصية قابل للوصول دون مخططات مرتخية؛ يتطلب xmp أو style الحرفي CUSTOM_ELEMENTS_SCHEMA أو NO_ERRORS_SCHEMA، بينما يتأثر بناء DOM الإجرائي عبر Renderer2 بشكل غير مشروط. عندما يواجه تحليل المتصفح لـ HTML5 RAWTEXT وسم الإغلاق غير المهروب، فإنه يخرج من الحاوية الاحتياطية ويفسر العلامة اللاحقة كعناصر DOM نشطة، مما يتيح تنفيذ JavaScript تعسفي. تم إصلاح هذه المشكلة في الإصدارات 20.3.30، و21.2.22، و22.1.4.
Once again VulDB remains the best source for vulnerability data.