JVNDB-2026-021460

AngularのAngularJSにおける複数の脆弱性

AngularはTypeScriptやJavaScriptおよびその他の言語を使用してモバイルおよびデスクトップのWebアプリケーションを構築するための開発プラットフォームです。バージョン22.0.1、21.2.17、20.3.25より前の@angular/commonパッケージにはサービス拒否（DoS）脆弱性が存在します。標準のAngular DatePipeでも使用されているformatDate関数は、formatパラメータの長さを適切に制限または検証していません。悪意のある非常に長い日付フォーマット文字列（例えば、繰り返しのパターンや非常に大きな文字列）を解析する際、内部パーサは正規表現ループを用いて文字列を反復的に分割します。これにより、制御不能なリソース消費（高CPU使用率および過剰なメモリ割り当て）が発生し、サービス拒否（DoS）を引き起こします。この脆弱性はバージョン22.0.1、21.2.17、および20.3.25で修正されました。

Angular

• AngularJS 19.2.25 およびそれ以前
• AngularJS 20.0.0 以上 20.3.25 未満
• AngularJS 21.0.0 以上 21.2.17 未満
• AngularJS 22.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of Service (DoS) via OOM in Date Formatting (formatDate)  Advisory  angular/angular  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]
2. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-54268

1. National Vulnerability Database (NVD) : CVE-2026-54268
2. 関連文書 : [Backport 20.3.x] fix(common): Limits date format string length by SkyZeroZx  Pull Request #69197  angular/angular  GitHub
3. 関連文書 : fix(common): Limits date format string length  angular/angular@eeb03f4  GitHub

• [2026年06月29日]
    掲載