プラットフォーム
nodejs
コンポーネント
@angular/core
修正版
22.0.0-next.3
21.2.4
20.3.18
19.2.20
22.0.0-next.3
21.2.4
20.3.18
19.2.20
22.0.0-next.3
Angularのランタイムとコンパイラにクロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性は、セキュリティに敏感な属性（アンカータグのhrefなど）とAngularの国際化機能を組み合わせた場合に発生します。i18n-<attribute>という名前で国際化対応の属性を有効にすると、Angularの組み込みサニタイズメカニズムを回避でき、信頼できないユーザー生成データへのデータバインディングと組み合わせることで、悪意のあるスクリプトの注入が可能になります。影響を受けるバージョンは@angular/core 21.0.0から21.2.3です。21.2.4へのアップデートで修正されています。
このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、Cookieやセッショントークンなどの機密情報が盗まれたり、ユーザーが偽のWebサイトに誘導されたり、Webサイトのコンテンツが改ざんされたりする可能性があります。Angularアプリケーションを構築している開発者や、Angularアプリケーションを使用しているユーザーは、この脆弱性によって深刻な影響を受ける可能性があります。特に、ユーザー生成データを適切にサニタイズしていないアプリケーションは、攻撃を受けやすくなります。この脆弱性は、Angularの国際化機能の設計上の欠陥に起因しており、他のWebアプリケーションフレームワークでも同様の脆弱性が存在する可能性があります。
この脆弱性は、2026年3月13日に公開されました。現時点では、公開されているPoC（Proof of Concept）は確認されていませんが、XSS脆弱性は一般的に悪用されやすいと考えられます。CISA KEVカタログへの登録状況は不明です。Angularコミュニティは、この脆弱性に関する情報を積極的に共有しており、攻撃者による悪用を防ぐための対策を講じる必要があります。
Applications built with Angular versions 21.0.0 through 21.2.3 are at risk. This includes web applications, single-page applications (SPAs), and any other projects utilizing the @angular/core library. Teams relying on third-party components that depend on these vulnerable versions are also indirectly at risk.
• nodejs / supply-chain:
Get-Process | Where-Object {$_.ProcessName -like '*node*'} | Select-Object Name, Id, Path• generic web:
curl -I https://your-angular-app.com/ | grep -i 'x-xss-protection'• generic web:
Inspect the application's source code for instances of i18n- attributes used on security-sensitive HTML elements where the attribute value is bound to user-supplied data.
disclosure
エクスプロイト状況
EPSS
0.05% (15% パーセンタイル)
CISA SSVC
この脆弱性への対応策として、まず@angular/coreを21.2.4以降のバージョンにアップデートすることを推奨します。アップデートが困難な場合は、セキュリティに敏感な属性（hrefなど）に対してAngularの国際化機能を適用しないように構成を変更してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるスクリプトの注入を試みるリクエストをブロックすることも有効です。Angularアプリケーションの入力検証を強化し、ユーザー生成データを適切にサニタイズすることも重要です。アップデート後、アプリケーションをテストし、脆弱性が修正されていることを確認してください。
Angularをバージョン22.0.0-next.3、21.2.4、20.3.18、または19.2.20、またはそれ以上のバージョンにアップデートしてください。これにより、i18n属性リンクのXSS脆弱性が修正されます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-32635は、@angular/core 21.0.0–21.2.3におけるクロスサイトスクリプティング（XSS）の脆弱性です。国際化対応の属性とデータバインディングの組み合わせにより、悪意のあるスクリプトの注入が可能になります。
はい、影響があります。攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行し、機密情報を盗んだり、Webサイトを改ざんしたりする可能性があります。
まず、@angular/coreを21.2.4以降のバージョンにアップデートしてください。アップデートが困難な場合は、国際化対応の属性の使用を避け、入力検証を強化してください。
現時点では、公開されているPoCは確認されていませんが、XSS脆弱性は一般的に悪用されやすいと考えられます。
Angularの公式ウェブサイトまたはセキュリティアドバイザリページで確認できます。