检测

Angular 22.x < 22.1.4 多种漏洞

high Web App Scanning 插件 ID 115577

语言：

简介

Angular 22.x < 22.1.4 多种漏洞

描述

根据其自我报告的版本号，Angular 低于 20.0.0、 20.3.3020.x 低于 、 或22.x21.x21.2.2222.1.4低于 。因此，该应用程序受到多个漏洞的影响：

- @angular/platform-server 中的服务器端请求伪造 （SSRF） 漏洞。WHATWG URL 解析和 Angular SSR URL 解析之间的差异（会删除前导 Unicode 空白），允许攻击者绕过同源检查并将服务器端请求发送到攻击者控制的主机，从而可能泄漏服务器端凭据。（CVE-2026-88056）

- @angular/platform-server 中的跨站脚本 （XSS） 漏洞。在 SSR HTML 序列化期间，嵌套在回退原始内容元素（如 <noscript> 或 <iframe>）中的处理指令节点不会转义祖先元素的匹配结束标记，从而允许在浏览器中执行注入的标记。（CVE-2026-88058）

- @angular/platform-server 中的跨站脚本 （XSS） 漏洞。在 SSR HTML 序列化期间，祖先标记不会跨 <template> 元素边界遍历，因此不会转义不受信任内容中回退原始内容元素（例如 </noscript>）的结尾标记，从而允许在浏览器中执行注入的标记。（CVE-2026-88060）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

解决方案

升级到 Angular 版本或更高版本 22.1.4 。

另见

https://github.com/angular/angular/security/advisories/GHSA-f6mr-pjwc-34m4

https://github.com/angular/angular/security/advisories/GHSA-j3r3-mxqp-r2p4

https://github.com/angular/angular/security/advisories/GHSA-v3p8-whq6-r5jg

插件详情

严重性: High

ID: 115577

类型: Version Based

发布时间: 2026/10/2

最近更新时间: 2026/10/2

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: High

分数: 7

百分位: 98.06

CVSS v2

风险因素: High

基本分数: 9.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS 分数来源: CVE-2026-88056

CVSS v3

风险因素: Critical

基本分数: 9.1

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

CVSS 分数来源: CVE-2026-88056

CVSS v4

风险因素: High

Base Score: 8.6

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

CVSS 分数来源: CVE-2026-88056

漏洞信息

CPE: cpe:2.3:a:angular:angular:*:*:*:*:*:*:*:*

可利用: true

易利用性: Exploits are available

漏洞发布日期: 2026/9/9

参考资料信息

CVE: CVE-2026-88056, CVE-2026-88058, CVE-2026-88060