CVE-2026-88056 in Angular
Zusammenfassung
von VulDB • 10.09.2026
Angular ist eine Entwicklungsplattform zum Erstellen von Webanwendungen für Mobilgeräte und Desktops unter Verwendung von TypeScript/JavaScript sowie weiterer Sprachen. Vor den Versionen 20.3.30, 21.2.22 und 22.1.4 verarbeitet die Server-Side Rendering (SSR)-Funktionalität in @angular/platform-server vom Benutzer kontrollierte Ressourcen- oder Anforderungs-URLs über HttpClient, nachdem der Anwendungscode diese mit der WHATWG-URL-Parsing-Funktion validiert hat. Die Hilfsfunktionen resolveUrl und parseUrl riefen String.prototype.trim() auf, was führende Unicode-Leerzeichen wie U+00A0 oder U+FEFF entfernte, nachdem die Eingabe eine Same-Origin-Prüfung bestanden hatte; dadurch wurde ein relativer Pfad in eine protokollrelative, vom Angreifer kontrollierte URL umgewandelt. In betroffenen Anwendungen, bei denen sensible serverseitige Anmeldeinformationen wie Authorization-Headers an genehmigte Anforderungen angehängt werden, leitete die relativeUrlsTransformerInterceptorFn dann die Anforderung zum vom Angreifer kontrollierten Ursprung weiter, was zu SSRF (Server-Side Request Forgery) und Offenlegung von Anmeldeinformationen führte. Dieses Problem ist in den Versionen 20.3.30, 21.2.22 und 22.1.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.