There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Angular is a development platform for building mobile and desktop web applications using
    TypeScript/JavaScript and other languages. Prior to versions 19.2.21, 20.3.19, 21.2.9, and 22.0.0-next.8,
    a Server-Side Request Forgery (SSRF) vulnerability exists in @angular/platform-server due to improper
    handling of URLs during Server-Side Rendering (SSR). When an attacker sends a request such as GET
    /\evil.com/ HTTP/1.1 the server engine (Express, etc.) passes the URL string to Angular’s rendering
    functions. Because the URL parser normalizes the backslash to a forward slash for HTTP/HTTPS schemes, the
    internal state of the application is hijacked to believe the current origin is evil.com. This
    misinterpretation tricks the application into treating the attacker’s domain as the local origin.
    Consequently, any relative HttpClient requests or PlatformLocation.hostname references are redirected to
    the attacker controlled server, potentially exposing internal APIs or metadata services. This issue has
    been patched in versions 19.2.21, 20.3.19, 21.2.9, and 22.0.0-next.8. (CVE-2026-41423)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Angular 是使用 TypeScript/JavaScript 和其他语言构建移动和桌面 Web 应用程序的开发平台。在低于版本 、 20.3.19和 21.2.922.0.0-next.8 之前19.2.21的版本中，由于在服务器端渲染 （SSR） 期间未正确处理 URL，@angular/platform-server 中存在服务器端请求伪造 （SSRF） 漏洞。当攻击者发送 GET /\evil.com/ HTTP/1.1 之类的请求时，服务器引擎（Express 等）会将 URL 字符串传递到 Angular 的渲染函数。由于 URL 解析器会针对 HTTP/HTTPS 方案将反斜线规范化为正斜线，因此应用程序的内部状态会遭到劫持，进而让其相信当前来源 evil.com。这种错误解释会诱骗应用程序将攻击者的域作为本地来源。
    因此，任何相关的 HttpClient 请求或 PlatformLocation.hostname 引用都会被重定向到攻击者控制的服务器，从而可能暴露内部 API 或元数据服务。、 和 21.2.922.0.0-next.8 版本19.2.2120.3.19中已修补此问题。（CVE-2026-41423）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Angular 是一個開發平台，用於使用 TypeScript/JavaScript 和其他語言建立行動和桌面 Web 應用程式。在 、 20.3.19和 21.2.922.0.0-next.8 版本19.2.21之前，@angular/平台伺服器中存在伺服器端要求偽造 （SSRF） 弱點，這是因為在伺服器端轉譯 （SSR） 期間不當處理 URL。當攻擊者傳送 GET /\evil.com/ HTTP1.1 / 之類的請求時，伺服器引擎（Express 等）會將 URL 字串傳遞給 Angular 的渲染函數。由於 URL 剖析器將反斜線正規化為 HTTP/HTTPS 配置的正斜線，因此應用程式的內部狀態會被劫持，以相信目前的來源是 evil.com 的。這種誤解會誘使應用程式將攻擊者的網域視為本機來源。
    因此，任何相對的 HttpClient 請求或 PlatformLocation.hostname 引用都會被重新導向到攻擊者控制的伺服器，從而可能暴露內部 API 或中繼資料服務。此問題已在 、 20.3.19和 21.2.922.0.0-next.8 版19.2.21中修補。（CVE-2026-41423）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Angular は、TypeScript/JavaScript およびその他の言語を使用してモバイルおよびデスクトップの Web アプリケーションを構築するための開発プラットフォームです。バージョン 19.2.21、 20.3.19、 21.2.9、22.0.0-next.8より前は、サーバーサイドレンダリング(SSR)中にURLが不適切に処理されているため、@angular/platform-serverにサーバーサイドリクエストフォージェリ(SSRF)の脆弱性があります。攻撃者が GET /\evil.com/ HTTP/1.1 などのリクエストを送信すると、サーバーエンジン (Express など) は URL 文字列を Angular のレンダリング関数に渡します。URL パーサーは、バックスラッシュを HTTP/HTTPS スキームのフォワードスラッシュに正規化するため、アプリケーションの内部状態がハイジャックされ、現在の生成元が evil.com であると信じられます。この誤解により、アプリケーションが騙されて、攻撃者のドメインをローカルオリジンとして処理します。
    その結果、相対的なHttpClientリクエストまたはPlatformLocation.hostname参照は攻撃者が制御するサーバーにリダイレクトされ、内部APIまたはメタデータサービスが漏えいする可能性があります。この問題は、バージョン 19.2.21、 20.3.19、 21.2.9、および 22.0.0-next.8 でパッチが適用されています。(CVE-2026-41423)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Angular is a development platform for building mobile and desktop web applications using     TypeScript/JavaScript and other languages. Prior to versions 19.2.21, 20.3.19, 21.2.9, and 22.0.0-next.8,     a Server-Side Request Forgery (SSRF) vulnerability exists in @angular/platform-server due to improper     handling of URLs during Server-Side Rendering (SSR). When an attacker sends a request such as GET     /\evil.com/ HTTP/1.1 the server engine (Express, etc.) passes the URL string to Angular's rendering     functions. Because the URL parser normalizes the backslash to a forward slash for HTTP/HTTPS schemes, the     internal state of the application is hijacked to believe the current origin is evil.com. This     misinterpretation tricks the application into treating the attacker's domain as the local origin.
    Consequently, any relative HttpClient requests or PlatformLocation.hostname references are redirected to     the attacker controlled server, potentially exposing internal APIs or metadata services. This issue has     been patched in versions 19.2.21, 20.3.19, 21.2.9, and 22.0.0-next.8. (CVE-2026-41423)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
440924	SCA: security update for @angular/platform-server (GHSA-45q2-gjvg-7973)	Tenable Cloud Security	SCA Checks	2026/4/27	2026/7/2	high
440924	SCA: security update for @angular/platform-server (GHSA-45q2-gjvg-7973)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/27	2026/7/2	high
322293	Linux Distros 未修补的漏洞：CVE-2026-41423	Nessus	Misc.	2026/6/24	2026/9/2	high
322293	Linux Distros 未修補弱點：CVE-2026-41423	Nessus	Misc.	2026/6/24	2026/9/2	high
322293	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41423	Nessus	Misc.	2026/6/24	2026/9/2	high
322293	Linux Distros Unpatched Vulnerability : CVE-2026-41423	Nessus	Misc.	2026/6/24	2026/9/2	high

检测

插件搜索

high

high

high

high

high

high