Alan-Agius4

Um problema de Cross-Site Scripting (XSS) existe na dependência de emulação de DOM `domino` do `@angular/platform-server` durante a serialização de elementos de texto bruto, como `<script>`, `<style>` e `<iframe>`. O problema decorre de um erro de alinhamento de índice Unicode na lógica de escape. Como o JavaScript calcula comprimentos de string e índices usando unidades de código UTF-16, caracteres astrais (como emojis) ocupam duas unidades de código. Quando o texto dinâmico contém esses caracteres antes de uma tag de fechamento, o cálculo do deslocamento do índice é alterado, fazendo com que o `domino` não consiga escapar a tag de fechamento. Um invasor pode fornecer um payload contendo um caractere Unicode astral e uma tag de fechamento para sair do contexto de texto bruto e executar um bloco `<script>` subsequente durante a Renderização do Lado do Servidor (SSR), resultando em XSS de mesma origem.

O `HttpTransferCache` do Angular armazena em cache requisições HTTP durante a Renderização do Lado do Servidor (SSR) para que possam ser reutilizadas durante a hidratação do lado do cliente, evitando requisições redundantes. Essas respostas são armazenadas no `TransferState` usando chaves de cache geradas pelo hashing de propriedades da requisição, incluindo o método, tipo de resposta, URL mapeada, corpo serializado e parâmetros de consulta ordenados. O sistema utiliza um hash de rolagem polinomial do tipo DJB2 de 32 bits, que possui um espaço de hash reduzido, permitindo colisões de hash. Um invasor pode identificar uma string de parâmetro de consulta, como `q=aaCAZMMM`, que produza o mesmo hash que um endpoint sensível, como '/api/user/profile'. Se a vítima visitar um link manipulado, o processo de SSR executa ambas as requisições, e a resposta controlada pelo invasor sobrescreve a resposta sensível no cache do `TransferState`. Isso resulta em envenenamento de estado (state poisoning), onde a aplicação opera com dados forjados, podendo burlar controles de segurança ou causar Cross-Site Scripting (XSS) baseado em DOM, além de vazamento de informações, onde dados sensíveis da vítima podem ser expostos.

Nome do Software Vulnerável e Versões Afetadas: Versões do Angular 18.2.14 até 18.2.21 Versões do Angular 19.2.15 até 19.2.16 Versões do Angular 20.3.0 Versões do Angular 21.0.0-next.3 Descrição: O Angular utiliza um contêiner de DI (Injeção de Dependência) para manter o estado específico da requisição durante a renderização no lado do servidor. Por razões históricas, este contêiner era armazenado como uma variável global de escopo de módulo JavaScript. Requisições simultâneas poderiam inadvertidamente compartilhar ou sobrescrever o estado do injetor global, potencialmente levando a uma requisição respondendo com dados destinados a outra, resultando em vazamentos de dados ou tokens. As APIs `bootstrapApplication`, `getPlatform` e `destroyPlatform` estavam vulneráveis. Recomendações: Versões do Angular 18.2.14 até 18.2.21: Atualize para a versão 18.2.21. Versões do Angular 19.2.15 até 19.2.16: Atualize para a versão 19.2.16. Versões do Angular 20.3.0: Atualize para a versão 20.3.0. Versões do Angular 21.0.0-next.3: Não há recomendação específica disponível. Como solução alternativa, desative o SSR via Rotas do Servidor ou opções do builder. Como solução alternativa, remova qualquer comportamento assíncrono das funções `bootstrap` personalizadas. Como solução alternativa, remova usos de `getPlatform()` no código da aplicação. Como solução alternativa, garanta que a build do servidor defina `ngJitMode` como false.