Veille sécuritéFrontend
P4Moyenne
Une correction incomplète d’un problème antérieur de protection XSRF permettrait, dans certaines conditions, de transmettre le jeton XSRF à une origine contrôlée par un tiers. Le problème concerne l’analyse d’URL du client HTTP Angular et les divergences entre le contrôle effectué par Angular et la normalisation du navigateur.
Angular
IdentifiantCVE-2026-111753
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif21.0.3; 20.3.34
Analyse technique
Le filtre d’URL ne reproduisait pas toutes les normalisations appliquées par l’analyseur WHATWG du navigateur, notamment pour certaines formes contenant des barres obliques inverses.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-20 à 20:37:57Z, soit 2026-10-20T22:37:57+02:00, à l’intérieur de la période demandée.
ImpactDans les conditions concernées, le jeton XSRF peut être divulgué à une origine externe contrôlée par un attaquant.
Versions affectées@angular/common : >=21.0.0 =20.0.0 <20.3.34; versions <=19.2.25 également indiquées comme affectées, sans correctif fourni.
Version corrigée21.0.3; 20.3.34
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-20T22:37:57+02:00
Mise à jour2026-10-20T22:37:58+02:00
Action recommandée
Mettre à jour @angular/common vers une version corrigée adaptée à la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).