CVE-2026-32635
CVE-2026-32635 · Angular has XSS in i18n attribute bindings
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 22.0.0-next.3, 21.2.4, 20.3.18, and 19.2.20, a Cross-Site Scripting (XSS) vulnerability has been identified in the Angular runtime and compiler. It occurs when the application uses a security-sensitive attribute (for example href on an anchor tag) together with Angular's ability to internationalize attributes. Enabling internationalization for the sensitive attribute by adding i18n-<attribute> name bypasses Angular's built-in sanitization mechanism, which when combined with a data binding to untrusted user-generated data can allow an attacker to inject a malicious script. This vulnerability is fixed in 22.0.0-next.3, 21.2.4, 20.3.18, and 19.2.20.
CVSS 8.6 · Élevée · EPSS 0,5% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
compiler
- Versions du logiciel
- >= 22.0.0-next.0, < 22.0.0-next.3: Concernée
- >= 21.0.0-next.0, < 21.2.4: Concernée
- >= 20.0.0-next.0, < 20.3.18: Concernée
- >= 17.0.0.next.0, < 19.2.20: Concernée
Aucun correctif publié
core
- Versions du logiciel
- >= 22.0.0-next.0, < 22.0.0-next.3: Concernée
- >= 21.0.0-next.0, < 21.2.4: Concernée
- >= 20.0.0-next.0, < 20.3.18: Concernée
- >= 17.0.0.next.0, < 19.2.20: Concernée
Aucun correctif publié
angular.js Debian:12
- Versions du logiciel
- 1.8.3-1
- 1.8.3-1+deb12u1
- 1.8.3-1+deb12u1~deb11u1
- 1.8.3-2
- 1.8.3-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Debian:13
- Versions du logiciel
- 1.8.3-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
@angular/core npm
- Plages de versions concernées
- SEMVER: ≥ 22.0.0-next.0, < 22.0.0-next.3
Mettez à jour vers 22.0.0-next.3
@angular/core npm
- Plages de versions concernées
- SEMVER: ≥ 21.0.0-next.0, < 21.2.4
Mettez à jour vers 21.2.4
@angular/core npm
- Plages de versions concernées
- SEMVER: ≥ 20.0.0-next.0.0.0, < 20.3.18
Mettez à jour vers 20.3.18
@angular/core npm
- Plages de versions concernées
- SEMVER: ≥ 19.0.0-next.0, < 19.2.20
Mettez à jour vers 19.2.20
@angular/core npm
- Plages de versions concernées
- SEMVER: ≥ 17.0.0-next.0, ≤ 18.2.14
Aucun correctif publié
@angular/compiler npm
- Plages de versions concernées
- SEMVER: ≥ 22.0.0-next.0, < 22.0.0-next.3
Mettez à jour vers 22.0.0-next.3
@angular/compiler npm
- Plages de versions concernées
- SEMVER: ≥ 21.0.0-next.0, < 21.2.4
Mettez à jour vers 21.2.4
@angular/compiler npm
- Plages de versions concernées
- SEMVER: ≥ 20.0.0-next.0.0.0, < 20.3.18
Mettez à jour vers 20.3.18
@angular/compiler npm
- Plages de versions concernées
- SEMVER: ≥ 19.0.0-next.0, < 19.2.20
Mettez à jour vers 19.2.20
@angular/compiler npm
- Plages de versions concernées
- SEMVER: ≥ 17.0.0-next.0, ≤ 18.2.14
Aucun correctif publié
angular.js Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 1.2.28-1ubuntu2
- 1.2.28-1ubuntu2+esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 1.5.10-1
- 1.5.10-1ubuntu0.1~esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 1.5.10-1
- 1.7.9-1
- 1.7.9-1ubuntu0.1~esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:22.04:LTS
- Versions du logiciel
- 1.8.2-2
- 1.8.2-2ubuntu0.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:24.04:LTS
- Versions du logiciel
- 1.8.3-1
- 1.8.3-1ubuntu0.24.04.1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:25.10
- Versions du logiciel
- 1.8.3-1
- 1.8.3-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:26.10
- Versions du logiciel
- 1.8.3-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
angular.js Ubuntu:26.04:LTS
- Versions du logiciel
- 1.8.3-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié