Уязвимости AngularJSAngularJS: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-119982026-06-24

  AngularJS XSS via SCE resource URL sanitization bypass

  Затронутые версии: >= 1.2.0-rc.3, <= 1.8.3 · >= 1.2.0-rc.3, < 1.8.4

  высокая 7.6

  Исправлено в: 1.8.4

• CVE-2025-46902025-08-19

  AngularJS 'linky' filter ReDoS

  Затронутые версии: < 1.9.9

  средняя 4.3

  Исправлено в: 1.9.9

• CVE-2025-23362025-06-04

  AngularJS improper sanitization in SVG '<image>' element with 'ngSanitize'

  Затронутые версии: >= 1.3.1, < 1.8.4

  средняя 4.8

  Исправлено в: 1.8.4

• CVE-2025-07162025-04-29

  AngularJS improper sanitization in SVG '<image>' element

  Затронутые версии: <= 1.8.3 · < 1.8.4

  средняя 4.8

  Исправлено в: 1.8.4

• CVE-2024-83732024-09-09

  AngularJS improper sanitization in '<source>' element

  Затронутые версии: <= 1.8.3 · < 1.8.4

  средняя 4.3

  Исправлено в: 1.8.4

• CVE-2024-83722024-09-09

  AngularJS improper sanitization in 'srcset' attribute

  Затронутые версии: >= 1.3.0-rc.4, <= 1.8.3 · >= 1.3.0-rc.4, < 1.8.4

  средняя 4.3

  Исправлено в: 1.8.4

• CVE-2024-21490есть код эксплойта2024-02-10

  This affects versions of the package angular from 1.3.0; versions of the package angularjs from 1.3.0.

  Затронутые версии: >= 1.3.0, <= 1.8.3 · >= 1.3.0, < 1.8.4

  высокая 7.5

  Исправлено в: 1.8.4

  EPSS 1,8%

• CVE-2023-261182023-03-30

  Versions of the package angular from 1.4.9 are vulnerable to Regular Expression Denial of Service (ReDoS) via the <input type="url"> element

  Затронутые версии: <= 1.8.3 · < 1.8.4

  средняя 5.3

  Исправлено в: 1.8.4

  EPSS 1,6%

• CVE-2023-261172023-03-30

  Versions of the package angular from 1.0.0 are vulnerable to Regular Expression Denial of Service (ReDoS) via the $resource service due to t

  Затронутые версии: <= 1.8.3 · < 1.8.4

  средняя 5.3

  Исправлено в: 1.8.4

  EPSS 1,6%

• CVE-2023-261162023-03-30

  Versions of the package angular from 1.2.21 are vulnerable to Regular Expression Denial of Service (ReDoS) via the angular.copy() utility fu

  Затронутые версии: <= 1.8.3 · < 1.8.4

  средняя 5.3

  Исправлено в: 1.8.4

  EPSS 1,6%

• CVE-2022-25869есть код эксплойта2022-07-15

  All versions of the package angular; all versions of the package angularjs.core; all versions of the package angularjs are vulnerable to Cro

  Затронутые версии: <= 1.8.3 · < 1.8.4

  средняя 6.1

  Исправлено в: 1.8.4

  EPSS 7,6%

• CVE-2022-258442022-05-01

  Regular Expression Denial of Service (ReDoS)

  Затронутые версии: >= 1.7.0 · >= 1.7.0, <= 999.x

  высокая 7.5

  EPSS 4,9%

• GHSA-5cp4-xmrw-59wf2020-08-05

  XSS via JQLite DOM manipulation functions in AngularJS

  Затронутые версии: < 1.8.0

  средняя 5.0

  Исправлено в: 1.8.0

• CVE-2020-76762020-06-08

  angular.js prior to 1.8.0 allows cross site scripting.

  Затронутые версии: < 1.8.0

  средняя 5.4

  Исправлено в: 1.8.0

  EPSS 1,9%

• CVE-2019-148632020-01-02

  There is a vulnerability in all angular versions before 1.5.0-beta.0, where after escaping the context of the web application, the web appli

  Затронутые версии: < 1.5.0-beta.1

  средняя 6.1

  Исправлено в: 1.5.0-beta.1

  EPSS 1,1%

• CVE-2019-107682019-11-19

  In AngularJS before 1.7.9 the function `merge()` could be tricked into adding or modifying properties of `Object.prototype` using a `__proto

  Затронутые версии: < 1.7.9

  высокая 7.5

  Исправлено в: 1.7.9

  EPSS 1,9%

• GHSA-28hp-fgcr-2r4h2019-06-27

  Cross-Site Scripting via JSONP

  Затронутые версии: < 1.6.0

  средняя

  Исправлено в: 1.6.0

• без CVE

  XSS through SVG if enableSvg is set

  Затронутые версии: >= 1.5.0, < 1.6.9

  низкая

  Исправлено в: 1.6.9

• без CVE

  XSS in $sanitize in Safari/Firefox

  Затронутые версии: < 1.6.5

  низкая

  Исправлено в: 1.6.5

• без CVE

  DOS in $sanitize

  Затронутые версии: < 1.6.3

  средняя

  Исправлено в: 1.6.3

• без CVE

  The attribute usemap can be used as a security exploit

  Затронутые версии: >= 1.3.0, < 1.5.0-rc2

  средняя

  Исправлено в: 1.5.0-rc2

• без CVE

  The attribute usemap can be used as a security exploit

  Затронутые версии: >= 1.0.0, < 1.2.30

  средняя

  Исправлено в: 1.2.30