CVE-2026-69149

Nome do Software Vulnerável e Versões Afetadas Angular versões anteriores a 20.3.27 Angular versões anteriores a 21.2.19 Angular versões anteriores a 22.0.7

Description Um problema de Cross-Site Scripting (XSS) existe na dependência de emulação de DOM domino do @angular/platform-server durante a serialização de elementos de conteúdo bruto de fallback, especificamente <iframe>, <noembed>, <noframes> e <noscript>. Ao renderizar texto dinâmico via vinculações de template sob Server-Side Rendering (SSR), o serializador do domino não escapa os nós de texto dentro desses elementos. Isso permite que tags de fechamento em textos dinâmicos vinculados sejam serializadas diretamente no HTML de saída. Se o HTML for analisado por um navegador ou reanalisado durante o pós-processamento de SSR, a tag de fechamento injetada pode encerrar o elemento prematuramente, permitindo a execução de um bloco de script injetado no contexto do navegador do usuário.

Recommendations Atualize para a versão 20.3.27 ou posterior. Atualize para a versão 21.2.19 ou posterior. Atualize para a versão 22.0.7 ou posterior. Desative o inlining de CSS crítico definindo inlineCritical como false no angular.json ou definindo inlineCriticalCss: false ao usar o CommonEngine. Evite vincular valores controlados pelo usuário dentro dos elementos <iframe>, <noembed>, <noframes> e <noscript>. Sanitize a entrada do usuário colocada nesses elementos para remover ou escapar tags de fechamento antes de passá-las para o template.