Angular bis 18.2.14/19.2.21/20.3.20/21.2.12 erweiterte Rechte

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
7.0	$0-$5k	8.84-

Zusammenfassunginfo

Eine Schwachstelle, die als kritisch eingestuft wurde, wurde in Angular bis 18.2.14/19.2.21/20.3.20/21.2.12 gefunden. Hiervon betroffen ist ein unbekannter Codeblock. Durch Manipulieren mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2026-46417 gehandelt. Ein Angriff ist aus der Distanz möglich. Es ist kein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

Eine kritische Schwachstelle wurde in Angular bis 18.2.14/19.2.21/20.3.20/21.2.12 gefunden. Davon betroffen ist unbekannter Code. Mittels Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-918. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 22.0.0-next.12, 21.2.13, 20.3.21, and 19.2.22, a Server-Side Request Forgery (SSRF) vulnerability exists in @angular/platform-server. The issue stems from how the server-side rendering (SSR) engine processes the request URL provided to the rendering entry points. When an absolute-form URL (e.g., http://evil.com) is passed to the rendering engine, the internal ServerPlatformLocation can be manipulated into adopting the attacker-controlled domain as the "current" hostname. Consequently, any relative HttpClient requests or PlatformLocation.hostname references are redirected to the attacker controlled server, potentially exposing internal APIs or metadata services. This vulnerability is fixed in 22.0.0-next.12, 21.2.13, 20.3.21, and 19.2.22.

Bereitgestellt wird das Advisory unter github.com. Die Verwundbarkeit wird seit dem 13.05.2026 mit der eindeutigen Identifikation CVE-2026-46417 gehandelt. Sie gilt als leicht auszunutzen. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Ein Aktualisieren auf die Version 19.2.22, 20.3.21, 21.2.13 oder 22.0.0-next.12 vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen eines Patches lösen. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Typ

• JavaScript Library

Name

• Angular

Version

• 18.2.0
• 18.2.1
• 18.2.2
• 18.2.3
• 18.2.4
• 18.2.5
• 18.2.6
• 18.2.7
• 18.2.8
• 18.2.9
• 18.2.10
• 18.2.11
• 18.2.12
• 18.2.13
• 18.2.14
• 19.2.0
• 19.2.1
• 19.2.2
• 19.2.3
• 19.2.4
• 19.2.5
• 19.2.6
• 19.2.7
• 19.2.8
• 19.2.9
• 19.2.10
• 19.2.11
• 19.2.12
• 19.2.13
• 19.2.14
• 19.2.15
• 19.2.16
• 19.2.17
• 19.2.18
• 19.2.19
• 19.2.20
• 19.2.21
• 20.3.0
• 20.3.1
• 20.3.2
• 20.3.3
• 20.3.4
• 20.3.5
• 20.3.6
• 20.3.7
• 20.3.8
• 20.3.9
• 20.3.10
• 20.3.11
• 20.3.12
• 20.3.13
• 20.3.14
• 20.3.15
• 20.3.16
• 20.3.17
• 20.3.18
• 20.3.19
• 20.3.20
• 21.2.0
• 21.2.1
• 21.2.2
• 21.2.3
• 21.2.4
• 21.2.5
• 21.2.6
• 21.2.7
• 21.2.8
• 21.2.9
• 21.2.10
• 21.2.11
• 21.2.12

Webseite

• Produkt: https://github.com/angular/angular/

CPE 2.3info

• 🔒
• 🔒
• 🔒

CPE 2.2info

• 🔒
• 🔒
• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 7.3
VulDB Meta Temp Score: 7.0

VulDB Base Score: 7.3
VulDB Temp Score: 7.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-918
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Angular 19.2.22/20.3.21/21.2.13/22.0.0-next.12
Patch: github.com

Timelineinfo

13.05.2026 CVE zugewiesen
22.06.2026 +40 Tage Advisory veröffentlicht
22.06.2026 +0 Tage VulDB Eintrag erstellt
22.06.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: GHSA-rfh7-fxqc-q52v
Status: Bestätigt

CVE: CVE-2026-46417 (🔒)
GCVE (CVE): GCVE-0-2026-46417
GCVE (VulDB): GCVE-100-372785

Eintraginfo

Erstellt: 22.06.2026 21:10
Anpassungen: 22.06.2026 21:10 (68)
Komplett: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion

Want to stay up to date on a daily basis?

Enable the mail alert feature now!