JVNDB-2026-036006

angularにおけるクロスサイトスクリプティングの脆弱性

Angularは、TypeScript/JavaScriptおよびその他の言語を使用してモバイルおよびデスクトップのウェブアプリケーションを構築するための開発プラットフォームです。バージョン20.3.28、21.2.20、および22.1.0より前のAngularでは、@angular/coreおよび@angular/compiler内のコンパイラーとランタイムが、SecurityContextを宣言ディレクティブまたはコンポーネントセレクターから派生させており、具体的なホスト要素からは派生させていませんでした。そのため、セキュリティに敏感なディレクティブのホストバインディングに対してサニタイザーを省略したり誤ったサニタイザーを選択する可能性がありました。この不一致は、hostDirectivesの合成、継承されたHostBinding宣言、カスタムhostElementや動的ディレクティブを用いたcreateComponent、SVG/MathML名前空間要素、および:not(...)のようなタグに依存しないセレクターを介して到達できます。したがって、攻撃者が制御するhref、src、action、xlink:href、またはdataの値がAngularの組み込みサニタイザーを経由せずにDOM属性に到達し、ユーザーのブラウザコンテキストで任意のJavaScriptを実行する可能性があります。アップグレードが困難なアプリケーションでは、代わりにDomSanitizer.sanitizeをSecurityContext.URLと共に割り当て前に使用するか、入力を検証されたHTTPおよびHTTPSのURLスキームに制限することが推奨されます。この問題はバージョン20.3.28、21.2.20、および22.1.0で修正されています。

angular

• angular 19.0.0 から 19.2.25
• angular 20.0.0 以上 20.3.28 未満
• angular 21.0.0 以上 21.2.20 未満
• angular 22.0.0 以上 22.1.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Sanitization bypass via directive host bindings on concrete host elements in @angular/core and @angular/compiler  Advisory  angular/angular  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-88057

1. National Vulnerability Database (NVD) : CVE-2026-88057
2. 関連文書 : Release 22.1.0  angular/angular  GitHub
3. 関連文書 : fix(core): sanitize host bindings on concrete hosts  angular/angular@6afe6fa  GitHub
4. 関連文書 : fix(core): sanitize host bindings on concrete hosts by SkyZeroZx  Pull Request #69558  angular/angular
5. 関連文書 : fix(core): sanitize host bindings on concrete hosts  angular/angular@6caa298  GitHub
6. 関連文書 : ResourceURL sanitizer bypass through host-binding selector mismatch  Issue #69550  angular/angular
7. 関連文書 : fix(core): sanitize host bindings on concrete hosts  angular/angular@2f96c80  GitHub
8. 関連文書 : Release 20.3.28  angular/angular  GitHub
9. 関連文書 : Release 21.2.20  angular/angular  GitHub

• [2026年09月30日]
    掲載