CVE-2026-50555

إصدارات Angular السابقة للإصدار 22.0.0-rc.2

إصدارات Angular السابقة للإصدار 21.2.16

إصدارات Angular السابقة للإصدار 20.3.24

إصدارات Angular السابقة للإصدار 19.2.25

توجد مشكلة في البرمجة النصية عبر المواقع (XSS) في التبعية لمحاكاة DOM domino الخاصة بـ @angular/platform-server أثناء تسلسل عناصر النص الخام مثل <script> و<style> و<iframe>. تنبع المشكلة من خطأ في محاذاة فهرس Unicode في منطق التهرب. نظرًا لأن JavaScript يحسب أطوال السلاسل والفهارس باستخدام وحدات الترميز UTF-16، فإن الأحرف الفلكية (مثل الرموز التعبيرية) تشغل وحدتين من الترميز. وعندما يحتوي النص الديناميكي على هذه الأحرف قبل علامة الإغلاق، يتغير حساب إزاحة الفهرس، مما يتسبب في فشل domino في التهرب من علامة الإغلاق. يمكن للمهاجم تزويد حمولة تحتوي على حرف Unicode فلكي وعلامة إغلاق للخروج من سياق النص الخام وتنفيذ كتلة <script> لاحقة أثناء العرض من جانب الخادم (SSR)، مما يؤدي إلى ثغرة XSS من نفس المنشأ.

قم بالتحديث إلى الإصدار 22.0.0-rc.2 أو أحدث.

قم بالتحديث إلى الإصدار 21.2.16 أو أحدث.

قم بالتحديث إلى الإصدار 20.3.24 أو أحدث.

قم بالتحديث إلى الإصدار 19.2.25 أو أحدث.

تجنب ربط القيم التي يتحكم فيها المستخدم داخل <iframe> أو عناصر النص الخام الأخرى.

قم بتنقية مدخلات المستخدم الموضوعة داخل عناصر النص الخام لإزالة علامات الإغلاق قبل تمريرها إلى القالب.