JVNDB-2026-021471

AngularのAngularJSにおける複数の脆弱性

Angularは、TypeScript/JavaScriptおよびその他の言語を使用してモバイルおよびデスクトップのウェブアプリケーションを構築するための開発プラットフォームです。22.0.0-rc.2、21.2.15、20.3.22、および19.2.23より前のバージョンにおいて、@angular/service-workerパッケージにリクエスト再構築中のリクエストポリシー強制の整合性を損なう問題が存在します。Angular Service Workerは、一致したアセットのネットワークリクエストをインターセプトすると、内部のヘルパー関数を使用して新しいRequestオブジェクトを再構築します。この再構築プロセス中に、ヘルパー関数は明示的にクライアントが定義した安全パラメータ（credentials設定（例：credentials: 'omit'）やHTTPキャッシュモード設定（例：cache: 'no-store'））を削除してしまいます。これにより、ブラウザの標準デフォルトパラメータ（credentials: 'same-origin'およびデフォルトのHTTPキャッシュプロパティ）が適用されます。このため、クライアント側の開発者が明示的に除外するよう指示したリクエストであっても、ブラウザが有効な認証情報（クッキーやAuthorizationヘッダーなど）を含めてしまい、セッション漏洩の可能性が生じます。さらに、プライベートまたはキャッシュ不可のリソースがサービスワーカーのエンジンによってキャッシュされることで、ログアウト後もクライアントのローカルキャッシュ内にプライベートなページ状態がアクセス可能または永続化されてしまいます。この脆弱性は22.0.0-rc.2、21.2.15、20.3.22、および19.2.23で修正されています。

Angular

• AngularJS 18.2.14 およびそれ以前
• AngularJS 19.0.0 以上 19.2.23 未満
• AngularJS 20.0.0 以上 20.3.22 未満
• AngularJS 21.0.0 以上 21.2.15 未満
• AngularJS 22.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Request Credential & Cache Policy Stripping in Angular Service Worker  Advisory  angular/angular  GitHub

1. 情報漏えい(CWE-200) [その他]
2. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-50184

1. National Vulnerability Database (NVD) : CVE-2026-50184
2. 関連文書 : fix(service-worker): Preserves explicit 'credentials: omit' in asset … by SkyZeroZx  Pull Request #68904  angular/angular  GitHub

• [2026年06月29日]
    掲載