根据其自我报告的版本号，Angular 低于 19.0.0、 19.2.1919.x 低于 、 或21.x20.x20.3.1721.1.6低于 。因而会受到 @angular/core 的国际化 （i18n） 管道中跨站脚本 （XSS） 漏洞的影响。未正确审查已转换 ICU 消息中的 HTML 内容，从而允许恶意转换执行任意 JavaScript。（CVE-2026-27970）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Angular 是使用 TypeScript/JavaScript 和其他语言构建移动和桌面 Web 应用程序的开发平台。、 和 20.3.17之前19.2.19的版本在 21.2.0Angular 21.1.16国际化 （i18n） 管道中存在一个跨站脚本漏洞。在 ICU 消息 （International Components for Unicode） 中，来自转换内容的 HTML 未得到正确审查，因此可执行任意 JavaScript。Angular i18n 通常涉及三个步骤，以源语言从应用程序中提取所有消息，发送要翻译的消息，然后将它们的翻译合并回最终的源代码。翻译通常由与特定合作伙伴公司的合同处理，涉及在收到最终翻译以显示给最终用户之前将源消息发送给单独的承包商。如果返回的翻译含有恶意内容，则可能将其呈现到应用程序中并执行任意 JavaScript。成功利用此漏洞后，允许在应用程序源中执行攻击者控制的 JavaScript。根据被利用的应用程序的性质，这可能导致凭据外泄和/或页面破坏。有几个先决条件适用于此攻击。攻击者必须破坏转换文件（xliff、xtb 等）。与大多数 XSS 漏洞不同，此问题不能被任意用户利用。攻击者必须首先破坏应用程序的转换文件，然后才能将权限升级到 Angular 应用程序客户端。受害应用程序必须使用 Angular i18n、使用一条或多条 ICU 消息、呈现 ICU 消息，并且不能通过安全的内容安全策略防御 XSS。版本 21.2.0、 21.1.6和20.3.1719.2.19修补程序。在应用修补程序之前，开发人员应考虑在将从不受信任的第三方收到的翻译内容合并到 Angular 应用程序中之前审查和验证，启用严格的 CSP 控制以阻止未经授权的 JavaScript 在页面上执行，并启用受信任的类型以强制执行适当的 HTML 审查。（CVE-2026-27970）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115622	Angular 20.x < 20.3.17 跨站脚本	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115623	Angular 19.x < 19.2.19 跨站脚本	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115621	Angular 21.x < 21.1.6 跨站脚本	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115624	Angular < 19.2.19 跨站脚本	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
300236	Linux Distros 未修补的漏洞：CVE-2026-27970	Nessus	Misc.	2026/3/2	2026/9/21	high

检测

插件搜索

high

high

high

high

high