Heimdall Security Logo

CVE-2026-101896

Vulnérabilité élevée dans angular (angular)

CVSS 8.2 · Élevée
EPSS 0.7%
angular•angular•Versions : >= 20.0.0, < 20.3.32, <= 19.2.25, >= 21.0.0, < 21.2.24, >= 22.0.0, < 22.2.0

Description

Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 20.3.32, 21.2.24, and 22.2.0, the @angular/router URL parser stores numeric matrix parameter names and numeric outlet names as properties on initially empty JavaScript objects during Node.js server-side rendering. V8 can interpret these URL-derived keys as array indices and allocate dense backing stores sized to high numeric values, so repeated small path segments cause disproportionate per-segment heap consumption. An unauthenticated attacker can send overlapping requests containing repeated numeric matrix parameters when SSR is enabled, the router directly parses the request URL, and upstream proxies allow semicolons and multiple path segments, eventually exhausting the Node.js old-space heap and terminating the SSR worker. Pure client-side Angular applications are not affected. This issue is fixed in versions 20.3.32, 21.2.24, and 22.2.0.

Gravité et risque d'exploitation

CVE-2026-101896 obtient un score CVSS de 8.2/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.69 %, ce qui la place devant 51.8 % des CVE référencées.

Que faire ?

  • Vérifiez si angular (versions >= 20.0.0, < 20.3.32, <= 19.2.25, >= 21.0.0, < 21.2.24, >= 22.0.0, < 22.2.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE