CVE-2026-88060 in Angular
Zusammenfassung
von VulDB • 10.09.2026
Angular ist eine Entwicklungsplattform zum Erstellen von Webanwendungen für Mobilgeräte und Desktops unter Verwendung von TypeScript/JavaScript sowie weiterer Sprachen. Vor den Versionen 20.3.30, 21.2.22 und 22.1.4 serialisiert die serverseitige Rendering-Funktion (SSR) in @angular/platform-server nicht vertrauenswürdige Eingaben innerhalb von Template-Inhalten, die in Raw-Content-Ersatzelementen wie noscript, iframe, noembed und noframes verschachtelt sind. Die Traversierung der fallbackRawContentTags im Domino-Serializer stoppte am DocumentFragment, das von template.content verwendet wird, sodass übereinstimmende schließende Tags in xmp-, style- oder script-Elementen sowie in Kommentar- oder Textknoten nicht maskiert wurden. Standardmäßige Interpolation mit Kommentaren oder Textknoten ist ohne entspannte Schemata erreichbar; ein Literal für xmp oder style erfordert CUSTOM_ELEMENTS_SCHEMA oder NO_ERRORS_SCHEMA, während die imperative DOM-Erstellung über Renderer2 bedingungslos betroffen ist. Wenn das HTML5-RAWTEXT-Browser-Parsing auf das nicht maskierte schließende Tag trifft, verlässt es den Ersatzcontainer und interpretiert nachfolgendes Markup als aktive DOM-Elemente, was eine beliebige JavaScript-Ausführung ermöglicht. Dieses Problem wurde in den Versionen 20.3.30, 21.2.22 und 22.1.4 behoben.
Once again VulDB remains the best source for vulnerability data.