JVNDB-2026-021469

AngularのAngularJSにおけるクロスサイトスクリプティングの脆弱性

Angularは、TypeScript/JavaScriptやその他の言語を使用してモバイルおよびデスクトップのウェブアプリケーションを構築するための開発プラットフォームです。22.0.0-rc.2、21.2.16、20.3.24、および19.2.25以前のバージョンでは、@angular/platform-serverのDOMエミュレーションの依存関係であるdominoにおいて、noscript要素の内容をシリアライズする際にクロスサイトスクリプティング（XSS）脆弱性が存在します。テンプレートバインディング（例: {{value}}や[textContent]）を介してnoscript要素内に動的テキストコンテンツをレンダリングする場合、テンプレートエンジンはブラウザが安全にコンテンツをレンダリングすると想定します。サーバーサイドレンダリング（SSR）の下では、dominoはスクリプティングが有効になった状態で構成されており、noscriptは生テキスト要素として扱われます。しかし、dominoのシリアライザはDOMシリアル化中に閉じタグのエスケープを必要とする生テキスト要素のリストからnoscriptを完全に除外していました。そのため、動的テキスト内に存在する/noscriptはどのような状況下でもエスケープされず、非エスケープの閉じタグが直接出力HTMLにシリアライズされていました（例: noscript/noscriptscriptalert(1)/script/noscript）。ブラウザで解析されると、noscriptブロックが早期に閉じられ、注入されたscriptブロックがユーザーのブラウザコンテキストで実行され、同一オリジンのクロスサイトスクリプティング（XSS）を引き起こします。この脆弱性は22.0.0-rc.2、21.2.16、20.3.24、および19.2.25で修正されました。

Angular

• AngularJS 18.2.14 およびそれ以前
• AngularJS 19.0.0 以上 19.2.25 未満
• AngularJS 20.0.0 以上 20.3.24 未満
• AngularJS 21.0.0 以上 21.2.16 未満
• AngularJS 22.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Missing `<noscript>` Raw-Text Serialization Escaping leads to Cross-Site Scripting (XSS) in Angular SSR  Advisory  angular/angular  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-50556

1. National Vulnerability Database (NVD) : CVE-2026-50556
2. 関連文書 : fix: Escapes in raw text  by SkyZeroZx  Pull Request #29  angular/domino  GitHub
3. 関連文書 : `<noscript>` text serialization in Angular SSR  Issue #68903  angular/angular

• [2026年06月29日]
    掲載