JVNDB-2026-021467

AngularのAngularJSにおけるクロスサイトスクリプティングの脆弱性

AngularはTypeScript/JavaScriptおよびその他の言語を使用してモバイルおよびデスクトップのウェブアプリケーションを構築するための開発プラットフォームです。22.0.0-rc.2、21.2.15、20.3.22、および19.2.23以前のバージョンでは、@angular/coreパッケージにおいて動的コンポーネント作成時のスクリプト実行制限を回避できる問題が存在していました。具体的には、動的コンポーネントのインスタンス化メカニズム(createComponent)が、scriptタグや名前空間付きスクリプト要素(svg:scriptなど)に直接コンポーネントをマウントすることを拒否できませんでした。これにより、スクリプトを実行するタグ上でカスタムコンポーネントの初期化が可能となり、攻撃者がスクリプト実行ホストを乗っ取ったりスクリプトを注入したりすることができました。この脆弱性は、createComponentに渡されるホスト要素またはセレクタパラメータを制御できる攻撃者が、Angularコンポーネントをscriptタグに直接初期化・マウントし、信頼できないコードの実行やクライアントサイドのクロスサイトスクリプティング(XSS)を引き起こすことを可能にします。この脆弱性は22.0.0-rc.2、21.2.15、20.3.22、および19.2.23で修正されています。

Angular

• AngularJS 18.2.14 およびそれ以前
• AngularJS 19.0.0 以上 19.2.23 未満
• AngularJS 20.0.0 以上 20.3.22 未満
• AngularJS 21.0.0 以上 21.2.15 未満
• AngularJS 22.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Dynamic Component Instantiation Mounting Protection Bypass (XSS)  Advisory  angular/angular  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-52725

1. National Vulnerability Database (NVD) : CVE-2026-52725
2. 関連文書 : fix(core): reject script element as a dynamic component host by alan-agius4  Pull Request #68713  angular/angular  GitHub
3. 関連文書 : refactor(core): align namespaced attribute validation and security schema contexts by alan-agius4  Pull Request #68686  angular/angular  GitHub

• [2026年06月29日]
    掲載