Déni de service par boucle infinie dans le rendu serveur Angular

Veille sécuritéBackend & données

P3Élevée

Avant les versions 20.3.31, 21.2.23 et 22.1.6, l’analyse de certains HTML contrôlés par un attaquant peut provoquer une boucle synchrone infinie dans le parseur DOM de rendu côté serveur d’Angular. Un attaquant distant non authentifié peut ainsi saturer un worker Node.js et perturber le traitement des requêtes ; mettre à jour vers une version corrigée.

IdentifiantCVE-2026-101895

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif20.3.31, 21.2.23 et 22.1.6

Source : NVD — CVE-2026-101895

Analyse technique

Un DOCTYPE incomplet se terminant par des espaces à la fin de l’entrée peut faire boucler le parseur Domino sans avancer son curseur ni quitter son état de lecture.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-14 à 15:17:03.370Z, soit le 2026-10-14 à 17:17:03.370+02:00, dans la période demandée.

ImpactConsommation CPU d’un worker SSR Node.js et interruption ou ralentissement des requêtes.

Versions affectées@angular/platform-server avant 20.3.31, 21.2.23 et 22.1.6

Version corrigée20.3.31, 21.2.23 et 22.1.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.7

Publication2026-10-14T17:17:03.370+02:00

Mise à jour2026-10-14T20:17:10.800+02:00

Détection / vérification

Vérifier les versions de @angular/platform-server et examiner si le rendu SSR traite du HTML contrôlé par des utilisateurs.

Action recommandée

Mettre à jour @angular/platform-server vers une version corrigée : 20.3.31, 21.2.23 ou 22.1.6.

Sources

NVD — CVE-2026-101895

Priorisation DFS : P3 · 1 source(s).