自己報告されたバージョン番号によると、Angular は 19.0.0 より前、 19.x19.2.16 より前、 20.x20.3.14 より前、または 21.x21.0.1 より前です。このため、@angular/common の HttpClient にある XSRF トークン漏洩の脆弱性の影響を受けます。プロトコル相対 URL(// で始まる)が同一生成元リクエストとして扱われるため、XSRF トークンが攻撃者の制御下にあるドメインに送信され、クロスサイトリクエスト偽造(CSRF)攻撃が可能になります。(CVE-2025-66035)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Angular は、TypeScript/JavaScript などの言語を使用して、モバイルおよびデスクトップ Web アプリケーションを構築するための開発プラットフォームです。バージョン 19.2.16、 20.3.14、 21.0.1より前では、angular HTTP クライアントのプロトコル相対 URL を介した XSRF トークンの漏洩があります。この脆弱性は、攻撃者が制御するドメインへのクロスサイトリクエストフォージェリXSRFトークンの認証されない漏洩を引き起こす、App ロジックによる認証情報の漏洩です。Angular の HttpClient には、リクエスト URL がプロトコル (http:// または https://) で始まるかどうかをチェックして、クロスオリジンであるかどうかを判断することで機能する、XSRF 保護メカニズムが組み込まれています。
    URL がプロトコル関連 URL//で始まる場合、同一生成元リクエストとして誤って処理され、XSRF トークンが自動的に X-XSRF-TOKEN ヘッダーに追加されます。この問題には、バージョン 19.2.16、20.3.14 および 21.0.1でパッチが適用されています。この問題の回避策には、HttpClient リクエストでプロトコル関連 URL (// で始まる URL) の使用を避けることが含まれます。すべてのバックエンド通信 URL は、相対パス (単一の / で始まる) または完全修飾の信頼できる絶対 URL としてハードコードされる必要があります。CVE-2025-66035

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115633	Angular 21.x < 21.0.1 XSRF トークンの漏洩	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115634	Angular 20.x < 20.3.14 XSRF トークンの漏洩	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115635	Angular 19.x < 19.2.16 XSRF トークンの漏洩	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115636	Angular < 19.2.16 XSRF トークンの漏洩	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
276979	Linux Distros のパッチ未適用の脆弱性: CVE-2025-66035	Nessus	Misc.	2025/12/1	2026/11/5	high

検出

プラグインの検索

high

high

high

high

high