JVNDB-2026-021475

angularのAngular Language Serviceにおける複数の脆弱性

Angular Language ServiceのVS Code拡張機能は、Angularテンプレートに対して豊富な編集体験を提供します。バージョン21.2.4以前では、クライアント側のAngular Language Service VS Code拡張機能がVS Codeのワークスペーストラスト状態を検証せず、ユーザーの同意を求めることなく、ワークスペース設定（.vscode/settings.json）からカスタムTypeScript SDKパスであるtypescript.tsdkおよびjs/ts.tsdk.pathを直接読み取っていました（client/src/client.tsにあります）。その後、クライアント側拡張は解析された設定パスをコマンドライン引数（--tsdk）としてバックグラウンドのNode.js言語サーバープロセスに渡します。サーバー初期化時に、バックグラウンドの言語サーバーはワークスペースで指定されたカスタムディレクトリパスに相対的なモジュールライブラリtsserverlibrary.jsを動的に解決し、標準のNode.js require()を介してインポートします。攻撃者はこの動作を悪用して、カスタムフォルダ内にローカルの悪意あるtsserverlibrary.jsスクリプトを含むリポジトリをコミットし、そのフォルダを指す細工された.vscode/settings.jsonファイルを設定できます。開発者がVS Codeでこのリポジトリフォルダを開くと、拡張機能は自動的にサーバーの初期化と読み込みを試み、その悪意あるスクリプトを動的に解決・読み込みし、バックグラウンドで静かに実行します。この脆弱性はバージョン21.2.4で修正されました。

angular

• Angular Language Service 21.2.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Insecure Workspace Configuration and Dynamic Library Loading in VS Code Angular Language Service Extension  Advisory  angular/angular  GitHub

1. 制御されていない検索パスの要素(CWE-427) [その他]
2. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]
3. クロスサイトスクリプティング(CWE-79) [その他]
4. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-49241

1. National Vulnerability Database (NVD) : CVE-2026-49241
2. 関連文書 : fix(vscode-extension): disable language server in untrusted workspaces by atscott  Pull Request #68886  angular/angular  GitHub
3. 関連文書 : fix(vscode-extension): prompt for confirmation before loading workspa… by atscott  Pull Request #68857  angular/angular  GitHub

• [2026年06月29日]
    掲載