自己報告されたバージョン番号によると、Angular は 20.0.0 より前、 20.x20.3.27 より前、 21.x21.2.19 より前、または 22.x22.0.1 より前です。そのため、以下の複数の脆弱性の影響を受けます。

- @angular/コンパイラの国際化(i18n)パイプラインのクロスサイトスクリプティング(XSS)の脆弱性。イベントハンドラー属性(onerror など)は、i18n-on* 属性を使用して翻訳用にマークされる可能性があります。これにより、悪意のある翻訳ファイルがローカライズされたビルドに任意の JavaScript を注入することが可能です。(CVE-2026-69151)

- @angular/service-worker での情報漏洩の脆弱性。機密リクエストヘッダー(Authorization など)はクロスオリジンリダイレクトで取り除かれません。これにより、リモートの攻撃者が、信頼できないオリジンへのリダイレクトを発生させることで認証情報を入手する可能性があります。(CVE-2026-54264)

- @angular/common の formatDate 関数でのサービス拒否の脆弱性であり、DatePipe でも使用されます。フォーマットパラメーターの長さが検証されないため、過度に長い書式文字列が制御されない CPU およびメモリ消費を引き起こすことができます。(CVE-2026-54268)

- @angular/core のクライアントハイドレーションにおける DOM 上書きの脆弱性。シリアル化された転送状態は、予測可能な ng-state 要素識別子を使用して検索されます。これにより、攻撃者が、この識別子を持つ要素を注入して、ハイドレーション応答キャッシュをポイズニングすることが可能です。(CVE-2026-54267)

- @angular/common の HttpTransferCache にある弱いキャッシュキーハッシュの脆弱性。キャッシュキーは 32 ビットハッシュで生成されるため、攻撃者は相反するリクエストパラメーターを細工して、攻撃者が制御する応答が SSR の際に機密性の高いエンドポイントの応答を上書きし、データ漏洩または状態ポイズニングを引き起こす可能性があります。(CVE-2026-54266)

- @angular/コンパイラのサニタイズバイパスの脆弱性。双方向バインディング構文を使用してバインドされたセキュリティに敏感なネイティブ DOM プロパティ(innerHTML、src または href など)は、サニタイザーなしで放出され、クロスサイトスクリプティング(XSS)を引き起こします。(CVE-2026-54265)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Angular は、TypeScript/JavaScript およびその他の言語を使用してモバイルおよびデスクトップの Web アプリケーションを構築するための開発プラットフォームです。22.0.1、21.2.17、20.3.25より前は、Angularフレームワークの@angular/commonパッケージにサービス拒否(DoS)の脆弱性があります。標準の Angular DatePipe でも利用される formatDate 関数は、書式パラメーターの長さを適切に制限または検証しません。悪意をもって細工された過度に長い日付書式文字列(繰り返しパターンや非常に大きな文字列など)を解析する場合、内部パーサーは正規表現ループを使用して文字列を繰り返し分割します。その結果、制御されないリソース消費(高いCPU使用率と過剰なメモリ割り当て)が発生し、サービス拒否(DoS)が発生します。この脆弱性は、22.0.1、21.2.17、20.3.25 で修正されています。(CVE-2026-54268)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115600	Angular < 20.3.27 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115597	Angular 22.x < 22.0.1 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115599	Angular 20.x < 20.3.27 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115598	Angular 21.x < 21.2.19 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
322230	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54268	Nessus	Misc.	2026/6/23	2026/11/12	high

検出

プラグインの検索

high

high

high

high

high