Dans Angular, l’analyseur d’URL de @angular/router pouvait consommer une quantité disproportionnée de mémoire avec certains paramètres numériques lorsque le rendu côté serveur (SSR) était activé. Des requêtes répétées pouvaient épuiser le tas old-space et arrêter le worker SSR; les applications exclusivement côté client ne sont pas concernées.
Source : NVD — CVE-2026-101896
Analyse technique
Des noms numériques issus de l’URL, utilisés comme propriétés d’objets JavaScript pendant le SSR, peuvent amener V8 à allouer des structures denses de grande taille. L’exploitation décrite suppose notamment que le routeur analyse directement l’URL et que les proxys laissent passer les points-virgules et plusieurs segments de chemin.
Impact, versions et correctif
Détection / vérification
Vérifier si Angular SSR est activé, si le routeur analyse directement les URL de requête et si les proxys autorisent les points-virgules et les segments de chemin multiples.
Action recommandée
Mettre à niveau Angular vers la version corrigée correspondant à la branche utilisée; vérifier en particulier les déploiements SSR.
Sources
Priorisation DFS : P3 · 1 source(s).