平台
nodejs
组件
@angular/core
修复版本
22.0.0-next.3
21.2.4
20.3.18
19.2.20
22.0.0-next.3
21.2.4
20.3.18
19.2.20
22.0.0-next.3
该漏洞是 @angular/core 运行时和编译器中发现的一处跨站脚本攻击 (XSS) 漏洞。当应用程序使用安全敏感属性，并启用国际化功能时，Angular 的内置 sanitization 机制会被绕过，从而允许攻击者注入恶意脚本。此问题影响 @angular/core 版本 21.0.0 到 21.2.3。建议升级至 21.2.4 版本以解决此问题。
攻击者可以利用此 XSS 漏洞在受影响的 Angular 应用程序中注入恶意脚本。攻击者可以通过修改安全敏感属性（如 href）并利用 Angular 的国际化功能，绕过 Angular 的内置安全机制。成功利用此漏洞可能导致攻击者窃取用户会话 cookie、重定向用户到恶意网站或篡改应用程序的内容。攻击者可以利用此漏洞进行钓鱼攻击，窃取敏感信息，或完全控制受影响的应用程序。由于 Angular 广泛应用于 Web 应用程序开发，因此此漏洞的潜在影响范围非常广泛。
该漏洞已公开披露，并且可能存在公开的利用代码。目前尚无关于该漏洞被积极利用的公开报告，但由于 XSS 漏洞的普遍性，建议尽快采取缓解措施。CISA 尚未将其添加到 KEV 目录中。建议持续关注安全公告和漏洞报告，以获取有关此漏洞的最新信息。
Applications built with Angular versions 21.0.0 through 21.2.3 are at risk. This includes web applications, single-page applications (SPAs), and any other projects utilizing the @angular/core library. Teams relying on third-party components that depend on these vulnerable versions are also indirectly at risk.
• nodejs / supply-chain:
Get-Process | Where-Object {$_.ProcessName -like '*node*'} | Select-Object Name, Id, Path• generic web:
curl -I https://your-angular-app.com/ | grep -i 'x-xss-protection'• generic web:
Inspect the application's source code for instances of i18n- attributes used on security-sensitive HTML elements where the attribute value is bound to user-supplied data.
disclosure
漏洞利用状态
EPSS
0.05% (15% 百分位)
CISA SSVC
最有效的缓解措施是升级到 @angular/core 21.2.4 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：避免在安全敏感属性上使用国际化功能。审查应用程序代码，确保没有使用 i18n-<attribute> 属性来国际化安全敏感属性。实施严格的输入验证和输出编码，以防止恶意脚本注入。使用 Web 应用程序防火墙 (WAF) 来检测和阻止 XSS 攻击。在升级后，请仔细测试应用程序，以确保修复程序正常工作，并且没有引入新的问题。
Actualice Angular a la versión 22.0.0-next.3, 21.2.4, 20.3.18 o 19.2.20, o superior, según corresponda a su versión actual. Esto corrige la vulnerabilidad XSS en el enlace de atributos i18n.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-32635 是 @angular/core 21.0.0–21.2.3 版本中发现的一处跨站脚本攻击 (XSS) 漏洞，攻击者可以通过国际化属性绕过安全机制注入恶意脚本。
如果您正在使用 @angular/core 21.0.0 到 21.2.3 版本，则可能受到此漏洞的影响。请立即升级到 21.2.4 或更高版本。
升级到 @angular/core 21.2.4 或更高版本以修复此漏洞。同时，审查应用程序代码，避免在安全敏感属性上使用国际化功能。
目前尚无关于该漏洞被积极利用的公开报告，但建议尽快采取缓解措施，以降低风险。
请访问 Angular 官方安全公告页面，以获取有关此漏洞的最新信息：https://github.com/angular/angular/security/advisories