CVE-2026-101895
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Angular to platforma programistyczna do tworzenia aplikacji internetowych na urządzenia mobilne i stacjonarne przy użyciu TypeScript/JavaScript i innych języków. W wersjach wcześniejszych niż 20.3.31, 21.2.23 i 22.1.6 parser emulacji DOM @angular/platform-server może wejść w nieskończoną synchroniczną pętlę, gdy renderowanie po stronie serwera Angular przetwarza kod HTML kontrolowany przez atakującego, zawierający niekompletny DOCTYPE kończący się białymi znakami na końcu danych wejściowych. W Domino lib/HTMLParser.js stan after_doctype_name_state emituje tokeny typu doctype i EOF bez przechodzenia do następnego znaku lub opuszczania stanu z ustalonym wyprzedzeniem, więc skaner wielokrotnie obsługuje ten sam znacznik EOF. Zdalny nieuwierzytelniony atakujący może wykorzystać ten warunek, korzystając ze ścieżek analizowania kodu HTML po stronie serwera, takich jak powiązanie internalHTML, aby wykorzystać pełny procesor procesu roboczego SSR Node.js, zablokować pętlę zdarzeń oraz zatrzymać równoczesne i kolejne żądania. Ten problem został rozwiązany w wersjach 20.3.31, 21.2.23 i 22.1.6.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/angular/angular/commit/3db26e2544964d07a520836ad01f02f36ec88e25
- https://github.com/angular/angular/commit/fc2e8fbc0bda2f5c11585e8a0cbd88c074f5e567
- https://github.com/angular/angular/releases/tag/v20.3.31
- https://github.com/angular/angular/releases/tag/v21.2.23
- https://github.com/angular/angular/releases/tag/v22.1.6
- https://github.com/angular/angular/security/advisories/GHSA-f67j-2jqw-jpq7
- https://github.com/angular/domino/commit/4d97473116d000e3fd4d6f75ec98cbd67576fa6f
- https://github.com/angular/angular/security/advisories/GHSA-f67j-2jqw-jpq7
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org