Angular SSR es vulnerable a SSRF e Inyección de Encabezados a través del pipeline de manejo de solicitudes

Un atacante puede explotar esta vulnerabilidad para realizar solicitudes a recursos internos que normalmente no serían accesibles desde el exterior. Esto podría incluir el acceso a bases de datos, sistemas de gestión interna, o incluso la ejecución de comandos en el servidor. La falta de validación de los encabezados Host y X-Forwarded-* permite a un atacante manipular la solicitud para que el servidor realice una solicitud a un dominio controlado por el atacante o a un recurso interno sensible. El impacto potencial es significativo, pudiendo resultar en la exposición de información confidencial, la toma de control del servidor, o la interrupción del servicio.

Applications using @angular/ssr for server-side rendering, particularly those deployed in environments with complex network configurations or shared hosting, are at risk. Legacy applications that haven't been updated to the latest @angular/ssr version are especially vulnerable.

• nodejs: Monitor application logs for unusual outbound HTTP requests to internal IP addresses or unexpected domains. Use netstat or ss to identify connections to internal resources.

  netstat -an | grep <internal_ip_address>

• nodejs: Inspect the Host and X-Forwarded-* headers in incoming requests for suspicious values. Implement logging of these headers for auditing purposes.

  console.log('Host header:', req.headers.host);
  console.log('X-Forwarded-Host header:', req.headers['x-forwarded-host']);

• generic web: Examine access logs for requests with unusual Host headers or X-Forwarded-* headers pointing to internal resources. Look for patterns indicative of port scanning or internal resource discovery.

1. 2026-02-25Disclosure

   disclosure

1. Reservado2026-02-23
2. Publicada2026-02-25
3. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 21.2.0-rc.1 o superior de @angular/ssr. Si la actualización no es inmediatamente posible, se recomienda implementar validación de dominios en la lógica de reconstrucción de URL de Angular. Esto implica verificar que el dominio de destino sea un dominio permitido antes de realizar la solicitud. Además, se recomienda configurar un Web Application Firewall (WAF) para bloquear solicitudes con encabezados Host o X-Forwarded-* sospechosos. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta revisando los logs del servidor y realizando pruebas de penetración.