CVE-2026-88056 in Angular
요약
\~에 의해 VulDB • 2026. 09. 10.
Angular은 TypeScript/JavaScript 및 기타 언어를 사용하여 모바일 및 데스크톱 웹 애플리케이션을 구축하기 위한 개발 플랫폼입니다. 버전 20.3.30, 21.2.22 및 22.1.4 이전의 Angular Server-Side Rendering(@angular/platform-server)는 WHATWG URL 파싱을 통해 애플리케이션 코드가 사용자 제어 리소스 또는 요청 URL을 검증한 후 HttpClient를 통해 이를 처리합니다. resolveUrl 및 parseUrl 유틸리티는 String.prototype.trim()을 호출하여, 입력이 동일 출처 검사를 통과한 후에 U+00A0이나 U+FEFF와 같은 선행 유니코드 공백 문자를 제거하고, 상대 경로를 공격자가 제어하는 프로토콜-상대 URL로 변환했습니다. 승인된 요청에 Authorization 헤더와 같은 민감한 서버 측 자격 증명을 첨부하는 영향받는 애플리케이션에서는 relativeUrlsTransformerInterceptorFn이 해당 요청을 공격자가 제어하는 원본으로 전송하여 SSRF 및 자격 증명 유출을 초래합니다. 이 문제는 버전 20.3.30, 21.2.22 및 22.1.4에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.