自己報告されたバージョン番号によると、Angular は 20.0.0 より前、 20.x20.3.30 より前、 21.x21.2.22 より前、または 22.x22.1.4 より前です。そのため、以下の複数の脆弱性の影響を受けます。

- @angular/platform-server でのサーバーサイドリクエスト偽造(SSRF)の脆弱性。WHATWG URL解析と、Unicodeの先頭の空白を削除するAngular SSR URL解決との間に不一致があるため、攻撃者が同一オリジンチェックをバイパスし、サーバー側のリクエストを攻撃者の制御下にあるホストに送信し、サーバー側の認証情報を漏えいさせる可能性があります。(CVE-2026-88056)

- @angular/platform-server のクロスサイトスクリプティング(XSS)の脆弱性。SSR HTMLシリアル化中、フォールバックのraw-content要素( <noscript> や <iframe>など)の中にネスト化された処理命令ノードが、祖先要素の一致する終了タグをエスケープしないため、挿入されたマークアップがブラウザで実行される可能性があります。(CVE-2026-88058)

- @angular/platform-server のクロスサイトスクリプティング(XSS)の脆弱性。SSR HTML シリアル化中、親タグは要素の境界を越えてトラバース <template> ないため、信頼できないコンテンツのフォールバック生コンテンツ要素( </noscript>など)の閉じるタグがエスケープされず、ブラウザで挿入されたマークアップを実行できます。(CVE-2026-88060)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Angular は、TypeScript/JavaScript およびその他の言語を使用してモバイルおよびデスクトップの Web アプリケーションを構築するための開発プラットフォームです。20.3.30、21.2.22、22.1.4より前は、@angular/platform-serverのAngularサーバーサイドレンダリング(SSR)は、noscript、iframe、noembed、noframesなどのフォールバックRAWコンテンツ要素にネストされたテンプレートコンテンツ内の信頼できない入力をシリアル化します。Domino シリアライザの fallbackRawContentTags トラバーサルが template.content が使用する DocumentFragment で停止したため、xmp、style、script、comments、または text ノードでの終了タグの一致がエスケープされませんでした。コメントまたはテキストノードを使用した標準補間は、緩和されたスキーマなしで達成できます。リテラルXMPまたはスタイルにはCUSTOM_ELEMENTS_SCHEMAまたはNO_ERRORS_SCHEMAが必要ですが、Renderer2命令型DOM構築は無条件に影響を受けます。HTML5 RAWTEXT ブラウザの解析が、エスケープされていない終了タグに遭遇すると、フォールバックコンテナを出て、末尾のマークアップをアクティブな DOM 要素として解釈し、任意の JavaScript の実行を可能にします。
    この問題は、バージョン 20.3.30、 21.2.22、 22.1.4 で修正されています。(CVE-2026-88060)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115580	Angular < 20.3.30 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115578	Angular 21.x < 21.2.22 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115577	Angular 22.x < 22.1.4 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
115579	Angular 20.x < 20.3.30 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/2	2026/10/2	high
344714	Linux Distros のパッチ未適用の脆弱性: CVE-2026-88060	Nessus	Misc.	2026/9/11	2026/11/10	high

検出

プラグインの検索

high

high

high

high

high