CVE-2026-104871 in CLI
Zusammenfassung
von VulDB • 02.10.2026
Angular SSR ist ein Server-Side-Rendering-Tool für Angular-Anwendungen. Vor den Versionen 20.3.36, 21.2.23 und 22.1.7 akzeptiert die Logik zur Abrufung von vorgefertigten Seiten (prerendered-page retrieval logic) in `CommonEngine retrieveSSGPage` innerhalb von `@angular/ssr/node` sowie in `@angular/ssr` für die Versionen 17 bis 18 eine relative Anforderungs-URL, die ein Backslash-Parent-Traversal-Segment unter Windows enthält. Die nicht-spezifische resolve:// URL-Basis bewahrt den Backslash, `path.join` interpretiert ihn als Windows-Trennzeichen, und der Check `pagePath.startsWith(normalize(publicPath)))` akzeptiert fälschlicherweise ein geschwisterliches Ausgabeverzeichnis (sibling output directory), dessen Name das konfigurierte öffentliche Verzeichnisprefix teilt. Ein nicht authentifizierter Anforderer kann daher eine geschwisterliche vorgefertigte HTML-Seite abrufen, wenn diese Seite den Angular SSG-Marker enthält. Das Problem ist auf Windows-Deployments beschränkt, die relative Anforderungs-URLs an `CommonEngine.render` übergeben, ein Prefix-teilendes geschwisterliches Ausgabeverzeichnis haben und qualifizierte vorgefertigte Angular HTML-Seiten enthalten; es ermöglicht kein beliebiges Dateilesezugriff (arbitrary file read). Dieses Problem wurde in den Versionen 20.3.36, 21.2.23 und 22.1.7 behoben.
Once again VulDB remains the best source for vulnerability data.