CVE-2025-71465

Nome do Software Vulnerável e Versões Afetadas @kolkov/angular-editor versões anteriores a 3.0.3

Description Existe um problema onde a função refreshView() escreve HTML do ngModel ou controles de formulários reativos diretamente no innerHTML sem utilizar o DomSanitizer. Isso ignora a opção de sanitização padrão, permitindo que atacantes armazenem HTML contendo atributos de manipuladores de eventos. Quando esse conteúdo é posteriormente carregado no editor, ele pode levar à execução de scripts arbitrários na origem da aplicação para os usuários que abrirem o conteúdo afetado.

Recommendations Atualize o @kolkov/angular-editor para a versão 3.0.3 ou posterior. Como medida paliativa temporária, restrinja a entrada permitida no ngModel ou nos controles de formulários reativos utilizados pelo editor para evitar a injeção de atributos de manipuladores de eventos HTML.