根据其自我报告的版本号，Angular 低于 20.0.0、 20.3.3020.x 低于 、 或22.x21.x21.2.2222.1.4低于 。因此，该应用程序受到多个漏洞的影响：

- @angular/platform-server 中的服务器端请求伪造 （SSRF） 漏洞。WHATWG URL 解析和 Angular SSR URL 解析之间的差异（会删除前导 Unicode 空白），允许攻击者绕过同源检查并将服务器端请求发送到攻击者控制的主机，从而可能泄漏服务器端凭据。（CVE-2026-88056）

- @angular/platform-server 中的跨站脚本 （XSS） 漏洞。在 SSR HTML 序列化期间，嵌套在回退原始内容元素（如 <noscript> 或 <iframe>）中的处理指令节点不会转义祖先元素的匹配结束标记，从而允许在浏览器中执行注入的标记。（CVE-2026-88058）

- @angular/platform-server 中的跨站脚本 （XSS） 漏洞。在 SSR HTML 序列化期间，祖先标记不会跨 <template> 元素边界遍历，因此不会转义不受信任内容中回退原始内容元素（例如 </noscript>）的结尾标记，从而允许在浏览器中执行注入的标记。（CVE-2026-88060）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Angular 是使用 TypeScript/JavaScript 和其他语言构建移动和桌面 Web 应用程序的开发平台。在 20.3.30、 和 21.2.2222.1.4之前，@angular/平台服务器中的 Angular 服务器端渲染 （SSR） 会序列化嵌套在回退原始内容元素（例如 noscript、iframe、noembed 和 noframes）中的模板内容内不受信任的输入。Domino 序列化程序的 fallbackRawContentTags 遍历在 template.content 使用的 DocumentFragment 处停止，因此 xmp、style、script、comments 或 text 节点中匹配的结尾标记不会转义。无需放宽的模式即可实现注释或文本节点的标准插值;文字 XMP 或样式需要 CUSTOM_ELEMENTS_SCHEMA 或 NO_ERRORS_SCHEMA，而 Renderer2 命令式 DOM 构造会受到无条件影响。当 HTML5 RAWTEXT 浏览器解析遇到非转义结束标记时，它会退出回退容器并将尾部标记解释为活动的 DOM 元素，从而允许任意 JavaScript 执行。
    在版本 20.3.30、 和 21.2.2222.1.4中修复了此问题。（CVE-2026-88060）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115580	Angular < 20.3.30 多种漏洞	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115578	Angular 21.x < 21.2.22 多种漏洞	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115577	Angular 22.x < 22.1.4 多种漏洞	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115579	Angular 20.x < 20.3.30 多种漏洞	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
344714	Linux Distros 未修补的漏洞：CVE-2026-88060	Nessus	Misc.	2026/9/11	2026/11/10	high

检测

插件搜索

high

high

high

high

high