CVE-2026-27970 in Angular
Zusammenfassung
von VulDB • 01.06.2026
Angular ist eine Entwicklungsplattform zum Erstellen von Webanwendungen für Mobilgeräte und Desktops unter Verwendung von TypeScript/JavaScript und anderen Sprachen. Versionen vor 21.2.0, 21.1.16, 20.3.17 und 19.2.19 weisen eine Cross-Site Scripting (XSS)-Schwachstelle in der Angular-Internationalisierungspipeline (i18n) auf. In ICU-Nachrichten (International Components for Unicode) wurde HTML aus übersetztem Inhalt nicht ordnungsgemäß bereinigt und konnte beliebigen JavaScript-Code ausführen. Die Angular-i18n-Funktionalität umfasst typischerweise drei Schritte: Extrahieren aller Nachrichten aus einer Anwendung in der Ausgangssprache, Senden der Nachrichten zur Übersetzung und anschließendes Zusammenführen der Übersetzungen zurück in den endgültigen Quellcode. Übersetzungen werden häufig durch Verträge mit bestimmten Partnerunternehmen abgewickelt, wobei die Ausgangsnachrichten an einen externen Dienstleister gesendet werden, bevor die endgültigen Übersetzungen für die Anzeige an den Endbenutzer zurückgegeben werden. Wenn die zurückgegebenen Übersetzungen bösartigen Inhalt enthalten, kann dieser in die Anwendung eingebettet und beliebiger JavaScript-Code ausgeführt werden. Bei erfolgreicher Ausnutzung dieser Schwachstelle ermöglicht dies die Ausführung von vom Angreifer gesteuertem JavaScript im Kontext der Anwendungsursprung (application origin). Je nach Art der ausgenutzten Anwendung kann dies zum Abfluss von Anmeldeinformationen (Credential Exfiltration) und/oder zur Vandalisierung der Seite führen. Für den Angriff gelten mehrere Voraussetzungen. Der Angreifer muss die Übersetzungsdatei (xliff, xtb usw.) kompromittieren. Im Gegensatz zu den meisten XSS-Schwachstellen ist dieses Problem nicht von beliebigen Benutzern ausnutzbar. Ein Angreifer muss zunächst die Übersetzungsdatei einer Anwendung kompromittieren, bevor er seine Privilegien auf den Angular-Anwendungsc Client ausweiten kann. Die Zielanwendung muss Angular-i18n verwenden, eine oder mehrere ICU-Nachrichten nutzen, eine ICU-Nachricht rendern und sich nicht durch eine sichere Content Security Policy (CSP) gegen XSS schützen. Die Versionen 21.2.0, 21.1.6, 20.3.17 und 19.2.19 beheben das Problem. Bis das Patch angewendet ist, sollten Entwickler erwägen, den von nicht vertrauenswürdigen Drittanbietern empfangenen übersetzten Inhalt zu überprüfen und zu verifizieren, bevor er in eine Angular-Anwendung integriert wird, strenge CSP-Steuerungen zu aktivieren, um die Ausführung von nicht autorisiertem JavaScript auf der Seite zu blockieren, und Trusted Types zu aktivieren, um eine ordnungsgemäße HTML-Bereinigung durchzusetzen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.