JVNDB-2026-036003

angularにおける複数の脆弱性

Angularは、TypeScript/JavaScriptおよびその他の言語を使用してモバイルおよびデスクトップのWebアプリケーションを構築するための開発プラットフォームです。バージョン20.3.30、21.2.22、および22.1.4より前の@angular/platform-serverのAngularサーバーサイドレンダリング（SSR）では、noscript、iframe、noembed、noframesなどのフォールバックのraw-content要素内にネストされたテンプレートコンテンツ内の信頼されていない入力がシリアライズされます。DominoシリアライザーのfallbackRawContentTagsトラバーサルはtemplate.contentで使用されるDocumentFragmentで停止するため、xmp、style、script、コメント、またはテキストノード内の対応する閉じタグはエスケープされません。コメントやテキストノードを含む標準的な補間は緩和されたスキーマなしでも到達可能であり、リテラルのxmpやstyleはCUSTOM_ELEMENTS_SCHEMAまたはNO_ERRORS_SCHEMAが必要ですが、Renderer2による命令型のDOM構築は無条件に影響を受けます。HTML5 RAWTEXTのブラウザ解析は、エスケープされていない閉じタグに遭遇するとフォールバックコンテナを抜けて後続のマークアップをアクティブなDOM要素として解釈し、任意のJavaScriptが実行される状態を引き起こします。この問題はバージョン20.3.30、21.2.22、および22.1.4で修正されています。

angular

• angular 19.0.0 から 19.2.25
• angular 20.0.0 以上 20.3.30 未満
• angular 21.0.0 以上 21.2.22 未満
• angular 22.0.0 以上 22.1.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SSR XSS via Unescaped <template> Content Across DocumentFragment Boundaries in Fallback Raw-Content Elements  Advisory  angular/angular  GitHub

1. 不適切なエンコード、または出力のエスケープ(CWE-116) [その他]
2. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-88060

1. National Vulnerability Database (NVD) : CVE-2026-88060
2. 関連文書 : fix(platform-server): update domino to latest version  angular/angular@89b2056  GitHub
3. 関連文書 : Release 21.2.22  angular/angular  GitHub
4. 関連文書 : build: update cross-repo angular dependencies  angular/angular@ba3bc47  GitHub
5. 関連文書 : Release 20.3.30  angular/angular  GitHub
6. 関連文書 : fix(platform-server): update domino to latest version  angular/angular@73d8bbd  GitHub
7. 関連文書 : Release 22.1.4  angular/angular  GitHub
8. 関連文書 : fix: escape fallback raw-content ancestor tags in templates and proce…  angular/domino@04f987d  GitHub

• [2026年09月30日]
    掲載