JVNDB-2026-021473

AngularのAngularJSにおける複数の脆弱性

Angularは、TypeScript/JavaScriptおよびその他の言語を使用してモバイルおよびデスクトップのウェブアプリケーションを構築するための開発プラットフォームです。バージョン22.0.0-rc.2、21.2.15、20.3.22、および19.2.23より前の@angular/commonパッケージにサービス拒否（DoS）脆弱性が存在します。formatNumber関数はDecimalPipe、PercentPipe、およびCurrencyPipeでも使用されていますが、digitsInfoパラメータの上限を適切に検証していません。具体的には、digitsInfo文字列（例：1.2-4）から解析された最小および最大の小数点以下桁数が整数に変換され、制限なく使用されます。悪意のある巨大な小数点以下桁数の値を持つdigitsInfo文字列（例：1.200000000-200000000）を解析すると、内部のroundNumber関数が要求された小数点以下桁数に合わせるためにdigits配列のパディングを試みます。これにより、配列に要素を繰り返し追加する無限ループが発生します。この脆弱性はバージョン22.0.0-rc.2、21.2.15、20.3.22、および19.2.23で修正されています。

Angular

• AngularJS 18.2.14 およびそれ以前
• AngularJS 19.0.0 以上 19.2.23 未満
• AngularJS 20.0.0 以上 20.3.22 未満
• AngularJS 21.0.0 以上 21.2.15 未満
• AngularJS 22.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of Service (DoS) via OOM in Number Formatting (digitsInfo)  Advisory  angular/angular  GitHub

1. リソースの枯渇(CWE-400) [その他]
2. 過度なイテレーション(CWE-834) [その他]

1. CVE-2026-50171

1. National Vulnerability Database (NVD) : CVE-2026-50171

• [2026年06月29日]
    掲載