CVE-2026-88058 in Angular
Zusammenfassung
von VulDB • 10.09.2026
Angular ist eine Entwicklungsplattform zum Erstellen von Webanwendungen für Mobilgeräte und Desktops unter Verwendung von TypeScript/JavaScript sowie weiterer Sprachen. Vor den Versionen 20.3.30, 21.2.22 und 22.1.4 serialisiert die serverseitige Rendering-Funktion (SSR) in @angular/platform-server ProcessingInstruction-DOM-Knoten innerhalb von Raw-Content-Fallback-Elementen ohne das Escaping der entsprechenden schließenden Parent-Tags. Die Daten von ProcessingInstruction wurden so behandelt, dass Greater-than-Zeichen (>), aber nicht Less-than-Zeichen (<) escaped wurden; zudem wurde keine Prüfung auf Fallback-Pendants durchgeführt. Dadurch konnte beispielsweise ein passendes schließendes Tag noscript-, iframe-, noembed- oder noframes-Container vorzeitig beenden. Die verwundbaren Knoten können nicht über Standard-Angular-Vorlagen erstellt werden; die Erreichbarkeit erfordert Anwendungs- oder Bibliothekscode, der inject(DOCUMENT).createProcessingInstruction mit angreiferkontrollierten Daten verwendet oder Renderer2-DOM-Einfügungen innerhalb eines Fallback-Containers durchführt. Bei der HTML5 RAWTEXT-Parsing führt das vorzeitige Schließen dazu, dass nachfolgende Geschwisterelemente als Live-Html interpretiert werden und beliebige JavaScript-Ausführungen im Browser des Opfers ermöglicht wird. Dieses Problem wurde in den Versionen 20.3.30, 21.2.22 und 22.1.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.