JVNDB-2026-021472

angularのAngular Language Serviceにおける複数の脆弱性

Angular Language ServiceのVS Code拡張機能は、Angularテンプレートに対して豊富な編集体験を提供します。クライアントサイドのAngular Language Service VS Code拡張機能は、ツールチップのMarkdownレンダラーをisTrusted: trueオプション（client/src/client.tsに位置）で設定しています。この設定により、VS Codeは受信するすべてのレンダリング済みコンテンツを信頼し、command: URIのようなアクティブな要素を有効にします。しかし、バックグラウンドのAngular Language Serverプロセスは、ホバーMarkdownコンテンツを転送する前にJSDoc文字列から角括弧、生のリンク、および制御文字をエスケープまたはサニタイズしません（server/src/handlers/hover.tsおよびserver/src/text_render.tsに位置します）。攻撃者は、この挙動を利用して、悪意のあるアクティブコマンドリンクを埋め込んだ悪意のあるJSDocツールチップを含むプロジェクトのTypeScriptまたはJavaScriptファイル（またはサードパーティのnpmパッケージ依存関係）を作成できます。開発者が対象のシンボルにカーソルを合わせてツールチップを表示し、悪意のあるリンクをクリックすると、IDEはコマンドシーケンスを開発者のホストマシン上で直接実行します。21.2.4以前のバージョンに存在したこの脆弱性は、21.2.4で修正されました。

angular

• Angular Language Service 21.2.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remote Code Execution via JSDoc Hover Command Injection in VS Code Angular Language Service Extension  Advisory  angular/angular  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-50178

1. National Vulnerability Database (NVD) : CVE-2026-50178

• [2026年06月29日]
    掲載