CVE-2025-66412
ŚrednieCVSS 5.4Streszczenie
W Angularze, przed wersjami 21.0.2, 20.3.15 i 19.2.17, zidentyfikowano podatność typu Stored Cross-Site Scripting (XSS) w kompilatorze szablonów. Problem wynika z niekompletności wewnętrznego schematu zabezpieczeń kompilatora, co pozwala atakującym na obejście wbudowanej sanitizacji bezpieczeństwa Angulara.
Ocena ryzyka
Podatność ta umożliwia atakującym wstrzykiwanie złośliwych skryptów, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Organizacje korzystające z podatnych wersji Angulara są narażone na poważne zagrożenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 21.0.2, 20.3.15 lub 19.2.17, aby usunąć tę podatność. Należy również przeprowadzić audyt aplikacji w celu zidentyfikowania potencjalnych miejsc narażonych na ataki XSS.
Oryginalny opis (angielski, źródło NVD)
Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 21.0.2, 20.3.15, and 19.2.17, A Stored Cross-Site Scripting (XSS) vulnerability has been identified in the Angular Template Compiler. It occurs because the compiler's internal security schema is incomplete, allowing attackers to bypass Angular's built-in security sanitization. Specifically, the schema fails to classify certain URL-holding attributes (e.g., those that could contain javascript: URLs) as requiring strict URL security, enabling the injection of malicious scripts. This vulnerability is fixed in 21.0.2, 20.3.15, and 19.2.17.