Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-88058 là lỗ hổng thuộc các loại Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') và Improper Encoding or Escaping of Output, ảnh hưởng tới angular (phiên bản bị ảnh hưởng: <= 19.2.25, >= 20.0.0, < 20.3.30 và các phiên bản bị ảnh hưởng khác). Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 8.6. Lỗ hổng này đã có mã hoặc bằng chứng khai thác công khai, nhưng điều đó chưa xác nhận việc khai thác trong thực tế.
Angular là một nền tảng phát triển để xây dựng các ứng dụng web cho thiết bị di động và máy tính để bàn bằng TypeScript/JavaScript cùng các ngôn ngữ khác. Trước các phiên bản 20.3.30, 21.2.22 và 22.1.4, cơ chế server-side rendering (SSR) của Angular trong @angular/platform-server tuần tự hóa các nút DOM ProcessingInstruction bên trong các phần tử fallback raw-content nhưng không escape các thẻ đóng của ancestor tương ứng. Dữ liệu ProcessingInstruction được escape đối với các ký tự lớn hơn nhưng để nguyên các ký tự nhỏ hơn và không kiểm tra các fallback ancestor, vì vậy dữ liệu như một thẻ đóng tương ứng có thể kết thúc sớm các container noscript, iframe, noembed hoặc noframes. Các nút dễ bị lỗi này không thể được tạo thông qua Angular template chuẩn; để có thể tiếp cận, application hoặc library phải sử dụng inject(DOCUMENT).createProcessingInstruction với dữ liệu do attacker kiểm soát hoặc chèn DOM bằng Renderer2 bên trong một fallback container. Trong cơ chế phân tích RAWTEXT của HTML5, việc đóng sớm khiến các phần tử sibling tiếp theo được diễn giải thành HTML hoạt động và cho phép thực thi JavaScript tùy ý trong trình duyệt của nạn nhân. Vấn đề này được sửa trong các phiên bản 20.3.30, 21.2.22 và 22.1.4.
@angular/platform-server thuộc nhánh <= 19.2.25 bị ảnh hưởng. Advisory nêu rõ nhánh này đã hết hỗ trợ hoặc LTS và sẽ không được vá.>= 20.0.0, < 20.3.30 bị ảnh hưởng; bản sửa tương ứng là 20.3.30.>= 21.0.0, < 21.2.22 bị ảnh hưởng; bản sửa tương ứng là 21.2.22.>= 22.0.0, < 22.1.4 bị ảnh hưởng; bản sửa tương ứng là 22.1.4.Angular @angular/platform-server thực hiện server-side rendering bằng cách tuần tự hóa HTML thông qua logic serializer liên quan đến dependency domino. Với ProcessingInstruction node, nhánh xử lý trước đây chỉ escape ký tự > trong dữ liệu nhưng để nguyên < và không gọi logic kiểm tra các fallback raw-content ancestor như fallbackRawContentTags(). Trong HTML5, các phần tử noscript, iframe, noembed và noframes đưa HTML tokenizer vào chế độ RAWTEXT; khi dữ liệu chứa chuỗi thẻ đóng tương ứng, tokenizer có thể kết thúc container sớm, sau đó diễn giải các sibling element tiếp theo như HTML đang hoạt động. Đường đi này cần application hoặc library tạo hoặc chèn một ProcessingInstruction node bằng dữ liệu do attacker kiểm soát, chẳng hạn qua inject(DOCUMENT).createProcessingInstruction(...), trong một fallback container được SSR. Các Angular template thông thường không tạo được node này vì cú pháp tương ứng được phân tích thành comment node, nên phạm vi ảnh hưởng hẹp hơn các đường XSS SSR thông thường. Chi tiết về route ứng dụng, nguồn dữ liệu đầu vào và cách dữ liệu đến được node vẫn phụ thuộc vào từng ứng dụng.
Lỗ hổng có thể được tiếp cận từ mạng thông qua ứng dụng Angular sử dụng SSR. Bản ghi đánh giá điều kiện khai thác là không cần quyền đặc biệt, độ phức tạp thấp và cần tương tác thụ động của nạn nhân, nghĩa là nạn nhân cần tải hoặc hiển thị phản hồi SSR bị ảnh hưởng. Tuy nhiên, attacker vẫn phải đưa được dữ liệu kiểm soát vào ProcessingInstruction node nằm trong một fallback raw-content element; Angular template chuẩn không tự tạo đường đi này. Bản ghi đánh dấu public exploit là có, và advisory chứa một minimal reproduction, nhưng không xác định một chiến dịch hoặc việc khai thác trong thực tế. Trường known-exploited không thiết lập bằng chứng về một chiến dịch khai thác ngoài thực tế.
Khi điều kiện reachability được đáp ứng, serializer có thể phát hành HTML trong đó fallback container bị đóng sớm bởi dữ liệu của processing instruction. Các sibling element vốn được kỳ vọng là nội dung fallback không còn bị giữ trong vùng raw text và có thể trở thành markup hoạt động trong trình duyệt. Kết quả kỹ thuật là arbitrary JavaScript execution trong browser của nạn nhân, với khả năng ảnh hưởng đến dữ liệu và thao tác mà context đó được phép thực hiện. Lỗ hổng không tự nó chứng minh việc thực thi mã trên máy chủ, phá vỡ tính sẵn sàng hoặc ảnh hưởng đến mọi ứng dụng Angular, vì code path tạo node và dữ liệu attacker kiểm soát là điều kiện bắt buộc.
Trong ứng dụng SSR bị ảnh hưởng, dữ liệu đầu vào từ attacker có thể làm thay đổi cách trình duyệt diễn giải HTML trả về và kích hoạt JavaScript trong context của nạn nhân. Tùy dữ liệu mà ứng dụng hiển thị và quyền của người dùng, script có thể đọc dữ liệu mà trang cho phép truy cập, thay đổi giao diện hoặc thực hiện hành động với quyền của người dùng đó. Tác động thực tế bị giới hạn bởi điều kiện reachability hẹp: ứng dụng phải tạo processing instruction bằng dữ liệu không tin cậy bên trong fallback container. Bản ghi mô tả tác động đến tính bí mật và toàn vẹn ở phía trình duyệt, nhưng không thiết lập việc chiếm máy chủ hoặc gián đoạn tính sẵn sàng của dịch vụ.
@angular/platform-server theo đúng nhánh được hỗ trợ: dùng 20.3.30 cho nhánh 20, 21.2.22 cho nhánh 21 hoặc 22.1.4 cho nhánh 22. Xác nhận artifact SSR thực tế đã sử dụng dependency đã sửa.<= 19.2.25, chuyển sang một nhánh Angular còn được hỗ trợ và áp dụng bản sửa tương ứng, vì advisory nêu rõ nhánh hết hỗ trợ này sẽ không được vá.document.createProcessingInstruction(target, data) khi node được đặt trong noscript, iframe, noembed hoặc noframes trong quá trình SSR.< bằng < trước khi đưa dữ liệu vào processing instruction. Biện pháp này không thay thế cho nâng cấp bản vá.domino, và xác nhận matching ancestor closing tags được escape trong HTML SSR.@angular/platform-server.inject(DOCUMENT).createProcessingInstruction, createProcessingInstruction và các luồng chèn DOM bằng Renderer2, sau đó xác định liệu dữ liệu đầu vào không tin cậy có thể đi vào trường data hay không.noscript, iframe, noembed và noframes trong quá trình SSR.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
