概要
Angular の @angular/compiler と @angular/core において、ネームスペース付きの script 要素（<svg:script> や <:svg:script> など）がテンプレートプリパーサーによって script 要素として正しく識別されず、テンプレートコンパイル時にエスケープされずに通過してしまう脆弱性です（GHSA-f3m7-gqxr-g87x）。これにより、Angular のサニタイゼーション・バリデーション機構が迂回される可能性があります。
CVSS v4.0 ベクトル: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| @angular/core (npm) | 21.2.15 未満 | 21.2.15 |
| @angular/compiler (npm) | 21.2.15 未満 | 21.2.15 |
| @angular/core (npm) | 22.0.0-rc.2 未満 | 22.0.0-rc.2 |
| @angular/core (npm) | 20.3.22 未満 | 20.3.22 |
| @angular/core (npm) | 19.2.22 未満 | 19.2.22 |
修正バージョンと対応策
- @angular/core および @angular/compiler を修正バージョン以上にアップデートする
- テンプレートに外部入力由来のコンテンツを含める場合は、Angular の信頼されたリソース API（DomSanitizer）の利用を確認してください
関連リンク
データソース: GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。