CVE-2026-88058 in Angular
Riassunto
di VulDB • 10/09/2026
Angular è una piattaforma di sviluppo per la creazione di applicazioni web mobili e desktop utilizzando TypeScript/JavaScript e altri linguaggi. Prima delle versioni 20.3.30, 21.2.22 e 22.1.4, il rendering lato server (SSR) in @angular/platform-server serializza i nodi DOM ProcessingInstruction all'interno di elementi raw-content fallback senza effettuare l'escaping dei tag di chiusura degli antenati corrispondenti. I dati ProcessingInstruction subiscono l'escaping per i caratteri maggiore di (>), ma lasciano intatti i caratteri minore di (<) e non ispezionano gli antenati fallback, quindi dati come un tag di chiusura corrispondente terminano prematuramente i contenitori noscript, iframe, noembed o noframes. I nodi vulnerabili non possono essere creati tramite i modelli Angular standard; la raggiungibilità richiede codice dell'applicazione o della libreria che utilizzi inject(DOCUMENT).createProcessingInstruction con dati controllati dall'attaccante oppure l'inserimento DOM di Renderer2 all'interno di un contenitore fallback. Nella parsing HTML5 RAWTEXT, la chiusura prematura fa sì che gli elementi fratelli successivi vengano interpretati come HTML live, consentendo l'esecuzione arbitraria di JavaScript nel browser della vittima. Questo problema è risolto nelle versioni 20.3.30, 21.2.22 e 22.1.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.