JVNDB-2026-036004

angularにおける複数の脆弱性

Angularは、TypeScript/JavaScriptおよび他の言語を使用してモバイルおよびデスクトップのウェブアプリケーションを構築するための開発プラットフォームです。バージョン20.3.28、21.2.20、および22.1.1より前のAngularでは、@angular/commonのHttpTransferCacheが、Server-Side Rendering（SSR）および階層的なHttpClientをwithRequestsMadeViaParentオプションで設定したハイドレーションの際に、認証済みレスポンスをキャッシュする可能性があります。子のTransferCacheは委譲前に最初に匿名のリクエストを評価し、その後親のwithInterceptorsチェーンがAuthorizationヘッダー、クッキー、またはAPIトークンを追加します。親のキャッシュは認証済みリクエストをスキップしますが、子は引き続き個人情報を含むレスポンスをTransferStateにJSONとしてシリアライズし、ng-stateスクリプトに保存します。悪用のためには、provideClientHydration、withRequestsMadeViaParentによる子のprovideHttpClientの委譲、親レベルでの認証情報の注入、およびCDN、リバースプロキシ、またはアプリケーションキャッシュによって複数ユーザー間で共有されるSSR HTMLレスポンスが必要です。その結果、後から訪問した認証されていない、または認可されていないユーザーが、以前の認証ユーザーの機密レスポンスデータを含むキャッシュされたHTMLを受け取る可能性があります。アプリケーション側での対策としては、子のレベルで認証情報を付与すること、withHttpTransferCacheOptionsで機密性の高いエンドポイントをフィルタリングすること、機密ルートに対して転送キャッシュを無効化すること、または個別化されたHTMLをprivateまたはno-storeとしてマークすることが効果的です。この問題はバージョン20.3.28、21.2.20、および22.1.1で修正されています。

angular

• angular 19.0.0 から 19.2.25
• angular 20.0.0 以上 20.3.28 未満
• angular 21.0.0 以上 21.2.20 未満
• angular 22.0.0 以上 22.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Information Leak via `HttpTransferCache` Bypass When Using `withRequestsMadeViaParent`  Advisory  angular/angular  GitHub

1. 情報漏えい(CWE-200) [その他]
2. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-88059

1. National Vulnerability Database (NVD) : CVE-2026-88059
2. 関連文書 : Release 22.1.1  angular/angular  GitHub
3. 関連文書 : fix(http): run root interceptors in the terminal request chain  angular/angular@caf6166  GitHub
4. 関連文書 : fix(http): run root interceptors in the terminal request chain by SkyZeroZx  Pull Request #69778  angular/angular
5. 関連文書 : fix(http): run root interceptors in the terminal request chain  angular/angular@e4c416c  GitHub
6. 関連文書 : `HttpTransferCache` can cache authenticated responses when using `withRequestsMadeViaParent`  Issue #69777  angular/angular
7. 関連文書 : fix(http): run root interceptors in the terminal request chain  angular/angular@c45028e  GitHub
8. 関連文書 : Release 20.3.28  angular/angular  GitHub
9. 関連文書 : Release 21.2.20  angular/angular  GitHub

• [2026年09月30日]
    掲載