Veille sécuritéBackend & données
P3Élevée
Lorsque le SSR Node.js rend des directives RouterLink utilisant la fusion ou la conservation des paramètres de requête, les URL calculées peuvent retenir en mémoire des copies de ces paramètres pendant la requête. Mettez à niveau @angular/router vers 22.2.1 ou 21.2.25; les applications Angular sans SSR ne sont pas concernées selon l’avis.
JavaScriptNode.js
IdentifiantCVE-2026-111751
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif22.2.1; 21.2.25
Analyse technique
La condition d’attaque inclut le SSR Node.js, des RouterLink configurés avec queryParamsHandling à merge ou preserve, et des requêtes concurrentes dont les paramètres sont transmis au serveur. La rétention croît avec le nombre de liens rendus et la taille des paramètres de requête.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-20T17:52:32Z, dans la période retenue; il décrit la vulnérabilité et les versions corrigées.
ImpactUn attaquant distant non authentifié peut provoquer un épuisement du tas mémoire et l’arrêt d’un processus SSR Node.js dans les conditions décrites.
Versions affectées@angular/router >=22.0.0 et =21.2.0 et <21.2.25
Version corrigée22.2.1; 21.2.25
ContournementLimiter la taille des requêtes longues au niveau du proxy ou du serveur.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-20T17:52:32Z
Mise à jour2026-10-20T17:52:33Z
Action recommandée
Mettre à niveau @angular/router vers 22.2.1 ou 21.2.25 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).