Angular - CVE-2026-32635
Date de publication :
Il s'agit d'une vulnérabilité dans le runtime et le compilateur Angular lors de l'utilisation de liaisons de données sur des attributs sensibles marqués pour l'internationalisation avec i18n-<attribut>.
Angular est une plateforme de développement utilisée pour créer des applications web et des interfaces client en TypeScript et JavaScript.
Dans cette situation, le mécanisme de sanitization intégré d'Angular peut être contourné. Le problème concerne notamment des attributs comme href, src, action, formaction ou xlink:href lorsque leur valeur provient d'une entrée non fiable.
Elle permet une injection de script dans le contexte du domaine de l'application.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Injection de code indirecte (à distance) (XSS)
Exploitation
CWE-79 : Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
• @angular/compiler versions 22.0.0-next.0 jusqu'à 22.0.0-next.2
• @angular/compiler versions 21.0.0-next.0 jusqu'à 21.2.3 et antérieures de la branche 21.x.
• @angular/compiler versions 20.0.0-next.0 jusqu'à 20.3.17 et antérieures de la branche 20.x.
• @angular/compiler versions 19.0.0-next.0 jusqu'à 19.2.19 et antérieures de la branche 19.x.
• @angular/compiler versions 17.0.0-next.0 jusqu'à 18.2.14. Branche sans version corrigée publiée dans l’avis.
• @angular/core versions 22.0.0-next.0 jusqu'à 22.0.0-next.2.
• @angular/core versions 21.0.0-next.0 jusqu'à 21.2.3 et antérieures de la branche 21.x.
• @angular/core versions 20.0.0-next.0 jusqu'à 20.3.17 et antérieures de la branche 20.x.
• @angular/core versions 19.0.0-next.0 jusqu'à 19.2.19 et antérieures de la branche 19.x.
• @angular/core versions 17.0.0-next.0 jusqu'à 18.2.14. Branche sans version corrigée publiée dans l’avis.
Contournement provisoire
• Ne pas marquer pour l’internationalisation les attributs sensibles concernés tant que le correctif n’est pas appliqué.
• Assainir explicitement ces attributs avec DomSanitizer avant utilisation.
Solutions ou recommandations
• @angular/compiler versions 21.2.4 et supérieures.
• @angular/compiler versions 20.3.18 et supérieures.
• @angular/compiler versions 19.2.20 et supérieures.
• @angular/core versions 22.0.0-next.3 et supérieures.
• @angular/core versions 21.2.4 et supérieures.
• @angular/core versions 20.3.18 et supérieures.
• @angular/core versions 19.2.20 et supérieures.