Перейти к содержимому
Noroxi

Уязвимости AngularAngular: известные уязвимости и безопасные версии

npm: @angular/core

Для Angular известно записей об уязвимостях: 9. Из них 9 — в данных npm (GitHub Advisory Database через OSV, тот же источник, что у npm audit). Последняя версия — 22.2.3 (endoflife.date).

По веткам: 22.x — безопасна с 22.1.0; 21.x — безопасна с 21.2.20; 20.x — безопасна с 20.3.28; 19.x — в записях нет исправленной версии.

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

ВеткаПоддержкаПоследняя в веткеЗаписиБезопасная версия
22.xДо 30 июня 2028 г.22.2.33высокая22.1.0
21.xДо 30 июня 2027 г.21.2.258высокая21.2.20
20.xДо 28 ноября 2026 г.20.3.348высокая20.3.28
19.xЗакончилась (19 мая 2026 г.)19.2.258высокаяИсправления нет
18.xЗакончилась (21 ноября 2025 г.)18.2.148высокаяИсправления нет
17.xЗакончилась (15 мая 2025 г.)17.3.128высокаяИсправления нет
16.xЗакончилась (8 ноября 2024 г.)16.2.127высокаяИсправления нет
15.xЗакончилась (18 мая 2024 г.)15.2.107высокаяИсправления нет
14.xЗакончилась (18 ноября 2023 г.)14.3.07высокаяИсправления нет
13.xЗакончилась (4 мая 2023 г.)13.4.07высокаяИсправления нет
12.xЗакончилась (12 ноября 2022 г.)12.2.177высокаяИсправления нет
11.xЗакончилась (11 мая 2022 г.)11.2.148высокаяИсправления нет

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

  • CVE-2026-880572026-09-10

    Angular: Sanitization bypass via directive host bindings on concrete host elements in @angular/core and @angular/compiler

    Затронутые версии: >= 22.0.0, < 22.1.0 · >= 21.0.0, < 21.2.20 · >= 20.0.0, < 20.3.28 · <= 19.2.25 · < 19.2.26

    средняя 5.3

    Исправлено в: 19.2.26, 20.3.28, 21.2.20, 22.1.0

  • CVE-2026-691512026-08-03

    Angular i18n: Cross-Site Scripting (XSS) via event-handler attributes

    Затронутые версии: >= 22.0.0-next.0, < 22.0.1 · >= 21.0.0-next.0, < 21.2.19 · >= 20.0.0-next.0, < 20.3.27 · <= 19.2.25

    высокая 7.6

    Исправлено в: 20.3.27, 21.2.19, 22.0.1

  • CVE-2026-542672026-06-22

    Angular Client Hydration DOM Clobbering & Response-Cache Poisoning

    Затронутые версии: >= 22.0.0-next.0, < 22.0.1 · >= 21.0.0-next.0, < 21.2.17 · >= 20.0.0-next.0, < 20.3.25 · <= 19.2.25 · < 19.2.26

    высокая 8.6

    Исправлено в: 19.2.26, 20.3.25, 21.2.17, 22.0.1

  • CVE-2026-527252026-06-22

    Angular Template and Dynamic Component Namespace Bypass leading to Cross-Site Scripting (XSS)

    Затронутые версии: >= 21.0.0-next.0, < 21.2.15 · >= 22.0.0-next.0, < 22.0.0-rc.2 · >= 19.0.0-next.0, < 19.2.23 · <= 18.2.14 · >= 20.0.0-next.0, < 20.3.22 · < 18.2.15

    средняя 5.3

    Исправлено в: 18.2.15, 19.2.23, 20.3.22, 21.2.15

  • CVE-2026-505572026-06-22

    Angular: Template and Attribute Namespace Sanitization Bypass (XSS)

    Затронутые версии: >= 21.0.0-next.0, < 21.2.15 · >= 22.0.0-next.0, < 22.0.0-rc.2 · >= 20.0.0-next.0, < 20.3.22 · >= 19.0.0-next.0, < 19.2.22 · <= 18.2.14 · < 18.2.15

    средняя 5.3

    Исправлено в: 18.2.15, 19.2.22, 20.3.22, 21.2.15

  • CVE-2026-32635есть код эксплойта2026-03-16

    Angular has XSS in i18n attribute bindings

    Затронутые версии: >= 22.0.0-next.0, < 22.0.0-next.3 · >= 21.0.0-next.0, < 21.2.4 · >= 20.0.0-next.0.0.0, < 20.3.18 · >= 19.0.0-next.0, < 19.2.20 · >= 17.0.0-next.0, <= 18.2.14 · >= 17.0.0-next.0, < 18.2.15

    высокая 8.6

    Исправлено в: 18.2.15, 19.2.20, 20.3.18, 21.2.4

  • CVE-2026-279702026-02-25

    Angular i18n vulnerable to Cross-Site Scripting (XSS)

    Затронутые версии: >= 21.2.0-next.0, < 21.2.0 · >= 21.0.0-next.0, < 21.1.6 · >= 20.0.0-next.0, < 20.3.17 · >= 19.0.0-next.0, < 19.2.19 · <= 18.2.14 · < 18.2.15

    высокая 7.6

    Исправлено в: 18.2.15, 19.2.19, 20.3.17, 21.1.6

  • CVE-2026-22610есть код эксплойта2026-01-10

    Angular has XSS Vulnerability via Unsanitized SVG Script Attributes

    Затронутые версии: >= 21.1.0-next.0, < 21.1.0-rc.0 · >= 21.0.0-next.0, < 21.0.7 · >= 20.0.0-next.0, < 20.3.16 · >= 19.0.0-next.0, < 19.2.18 · <= 18.2.14

    высокая 8.5

    Исправлено в: 19.2.18, 20.3.16, 21.0.7

  • CVE-2021-42312022-05-26

    Angular Comment cross site scripting

    Затронутые версии: >= 11.0.0, < 11.0.5 · >= 11.1.0-next.0, < 11.1.0-next.3 · < 10.2.5

    средняя 5.4

    Исправлено в: 10.2.5, 11.0.5

    EPSS 1,1%

Источники и метод

Диапазоны: GitHub Advisory Database (выгрузка OSV для npm, ежедневно) и Retire.js (Apache-2.0). Эксплуатация: CISA KEV, FIRST EPSS и зрелость эксплойта из базы CVE Noroxi. Даты поддержки: endoflife.date.

Эта страница и сканер JavaScript-библиотек используют одно правило сопоставления: строка без границ не считается доказательством, версии сравниваются в одном месте. Запись без диапазона версий не считается «затрагивающей» при проверке версии.

Данные на 25 октября 2026 г..

Другие библиотеки