CVE-2025-59052

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Angular من 18.2.14 حتى 18.2.21

إصدارات Angular من 19.2.15 حتى 19.2.16

إصدارات Angular 20.3.0

إصدارات Angular من 21.0.0-next.3

الوصف:

يستخدم Angular حاوية DI (حقن التبعية) للحفاظ على الحالة المحددة للطلب أثناء العرض على جانب الخادم. ولأسباب تاريخية، كان يتم تخزين هذه الحاوية كمتغير عالمي في نطاق وحدة JavaScript. قد تتشارك الطلبات المتزامنة عن غير قصد حالة المُحقن العالمي أو تقوم بالكتابة فوقها، مما قد يؤدي إلى استجابة أحد الطلبات ببيانات مخصصة لطلب آخر، مما ينتج عنه تسرب للبيانات أو الرموز المميزة. كانت واجهات برمجة التطبيقات bootstrapApplication وgetPlatform وdestroyPlatform معرضة للخطر.

التوصيات:

إصدارات Angular من 18.2.14 حتى 18.2.21: قم بالتحديث إلى الإصدار 18.2.21.

إصدارات Angular من 19.2.15 حتى 19.2.16: قم بالتحديث إلى الإصدار 19.2.16.

إصدارات Angular 20.3.0: قم بالتحديث إلى الإصدار 20.3.0.

إصدارات Angular 21.0.0-next.3: لا توجد توصية محددة متاحة.

كحل بديل، قم بتعطيل SSR عبر مسارات الخادم أو خيارات أداة البناء.

كحل بديل، قم بإزالة أي سلوك غير متزامن من وظائف bootstrap المخصصة.

كحل بديل، قم بإزالة استخدامات getPlatform() في كود التطبيق.

كحل بديل، تأكد من أن بنية الخادم تحدد ngJitMode على false.