CVE-2026-27970 in Angular
Riassunto
di VulDB • 20/06/2026
Angular è una piattaforma di sviluppo per la creazione di applicazioni web mobili e desktop utilizzando TypeScript/JavaScript e altri linguaggi. Le versioni precedenti alla 21.2.0, 21.1.16, 20.3.17 e 19.2.19 presentano una vulnerabilità di cross-Site scripting (XSS) nella pipeline di internazionalizzazione (i18n) di Angular. Nei messaggi ICU (International Components for Unicode), l'HTML proveniente dai contenuti tradotti non veniva adeguatamente sanificato e poteva eseguire JavaScript arbitrario. L'i18n di Angular prevede tipicamente tre fasi: l'estrazione di tutti i messaggi da un'applicazione nella lingua di origine, l'invio dei messaggi da tradurre e la fusione delle traduzioni restituite nel codice sorgente finale. Le traduzioni sono spesso gestite tramite contratti con società partner specifiche e comportano l'invio dei messaggi di origine a un appaltatore esterno prima di ricevere le traduzioni finali per la visualizzazione da parte dell'utente finale. Se le traduzioni restituite contengono contenuti dannosi, questi potrebbero essere integrati nell'applicazione ed eseguire JavaScript arbitrario. In caso di sfruttamento riuscito, questa vulnerabilità consente l'esecuzione di JavaScript controllato dall'attaccante nell'origine dell'applicazione. A seconda della natura dell'applicazione sfruttata, ciò potrebbe portare all'esfiltrazione di credenziali e/o alla vandalizzazione della pagina. Diversi prerequisiti si applicano all'attacco. L'attaccante deve compromettere il file di traduzione (xliff, xtb, ecc.). A differenza della maggior parte delle vulnerabilità XSS, questo problema non è sfruttabile da utenti arbitrari. Un attaccante deve prima compromettere il file di traduzione di un'applicazione prima di poter escalare i privilegi nel client dell'applicazione Angular. L'applicazione vittima deve utilizzare Angular i18n, utilizzare uno o più messaggi ICU, visualizzare un messaggio ICU e non difendersi dall'XSS tramite una Content Security Policy (CSP) sicura. Le versioni 21.2.0, 21.1.6, 20.3.17 e 19.2.19 risolvono il problema. Fino all'applicazione della patch, gli sviluppatori dovrebbero prendere in considerazione la revisione e la verifica dei contenuti tradotti ricevuti da terze parti non attendibili prima di incorporarli in un'applicazione Angular, abilitare controlli CSP rigorosi per bloccare l'esecuzione di JavaScript non autorizzato nella pagina e abilitare i Trusted Types per imporre una corretta sanificazione dell'HTML.
Once again VulDB remains the best source for vulnerability data.