Impatto Sistemico

Critico (77.82)

Sintesi

Angular ha rilasciato aggiornamenti di sicurezza che sanano 3 vulnerabilità, di cui 2 con gravità “alta”, nei pacchetti npm @angular/platform-server e @angular/router, componenti per il rendering lato server e per la gestione dell’instradamento delle applicazioni web. Tra queste si evidenziano le CVE-2026-101895 e CVE-2026-101896, per le quali risulta disponibile un Proof of Concept (PoC) in rete. Tali vulnerabilità potrebbero consentire a un attaccante remoto non autenticato di compromettere la disponibilità del servizio sui sistemi interessati.

Tipologia

• Denial of Service

Descrizione e potenziali impatti

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-101895, di tipo “Denial of Service” e con score CVSS v4.0 pari a 8.7, è dovuta a una gestione non adeguata delle dichiarazioni DOCTYPE incomplete nel parser DOM utilizzato dal componente @angular/platform-server per il rendering server-side di Angular. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità inviando al server contenuti HTML opportunamente predisposti al fine di provocare un ciclo sincrono infinito e rendere indisponibile il processo Node.js interessato compromettendo la disponibilità del servizio sul sistema interessato.

La vulnerabilità identificata tramite la CVE-2026-101896, di tipo “Denial of Service” e con score CVSS v4.0 pari a 8.2, è dovuta a una gestione non adeguata dei nomi numerici dei parametri matrice nel componente @angular/router , utilizzato durante il rendering server-side. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità inviando richieste HTTP concorrenti contenenti URL opportunamente predisposti con parametri numerici ripetuti, al fine di provocare un’allocazione sproporzionata di memoria e causare l’arresto del worker SSR, rendendo indisponibile l’applicazione interessata.

Prodotti e/o versioni affette

@angular/platform-server (npm)

• 22.x, versioni precedenti alla 22.1.6
• 21.x, versioni precedenti alla 21.2.23
• 20.x, versioni precedenti alla 20.3.31
• tutte le versioni precedenti alla 19.2.25

@angular/router (npm)

• 22.x, versioni precedenti alla 22.2.0
• 21.x, versioni precedenti alla 21.2.24
• 20.x, versioni precedenti alla 20.3.32
• tutte le versioni precedenti alla 19.2.25

N.B. : la versione 19.2.25 e tutte le precedenti sono fuori supporto; secondo quanto dichiarato dal vendor non saranno rilasciati aggiornamenti di sicurezza.

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei relativi bollettini di sicurezza riportati nella sezione Riferimenti.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “alta”: