CVE-2026-88060 in Angular
Riassunto
di VulDB • 10/09/2026
Angular è una piattaforma di sviluppo per la creazione di applicazioni web mobili e desktop utilizzando TypeScript/JavaScript e altri linguaggi. Prima delle versioni 20.3.30, 21.2.22 e 22.1.4, il rendering lato server (SSR) in @angular/platform-server serializzava input non attendibili all'interno del contenuto dei template annidati negli elementi di fallback raw-content come noscript, iframe, noembed e noframes. La traversata fallbackRawContentTags dello serializer Domino si interrompeva al DocumentFragment utilizzato da template.content, quindi i tag di chiusura corrispondenti in xmp, style, script, commenti o nodi testo non venivano escapeati. L'interpolazione standard con commenti o nodi testo è raggiungibile senza schemi rilassati; l'utilizzo letterale di xmp o style richiede CUSTOM_ELEMENTS_SCHEMA o NO_ERRORS_SCHEMA, mentre la costruzione imperativa del DOM tramite Renderer2 è interessata incondizionatamente. Quando il parsing HTML5 RAWTEXT del browser incontra il tag di chiusura non escapeato, esce dal contenitore fallback e interpreta i markup successivi come elementi DOM attivi, consentendo l'esecuzione arbitraria di JavaScript. Questo problema è risolto nelle versioni 20.3.30, 21.2.22 e 22.1.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.