Veille sécuritéBackend & données
P3Élevée
Avec le rendu côté serveur (SSR) sur Node.js, des segments de routes auxiliaires vides non configurés peuvent entraîner une reconnaissance répétée des routes et épuiser le processeur ou le tas mémoire. Mettez à niveau @angular/router vers une version corrigée; les applications Angular purement côté navigateur et le prérendu statique ne sont pas concernés selon l’avis.
AngularJavaScriptNode.js
IdentifiantCVE-2026-111752
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif22.2.1; 21.2.25; 20.3.33
Source : GHSA-62vg-58rm-qff7 — GitHub Advisory Database
Analyse technique
La vulnérabilité nécessite le SSR sur Node.js et une configuration de routes comprenant notamment une route de chemin vide ou un outlet nommé. Les segments d’outlet non configurés peuvent provoquer l’instanciation répétée d’arbres ActivatedRouteSnapshot et l’exécution répétée de gardes ou de résolveurs.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-20T14:36:39Z, dans la période retenue; il documente la vulnérabilité et les versions corrigées.
ImpactUn attaquant distant non authentifié peut provoquer l’épuisement du tas mémoire ou du processeur et interrompre le processus SSR Node.js.
Versions affectées@angular/router >=22.0.0 et =21.0.0 et =20.0.0 et <20.3.33; versions <=19.2.25 également indiquées comme affectées sans correctif
Version corrigée22.2.1; 21.2.25; 20.3.33
ContournementRejeter les requêtes comportant de nombreux segments de sorties auxiliaires non configurées et limiter les ressources des workers SSR en attendant la mise à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-20T14:36:39Z
Mise à jour2026-10-20T14:36:40Z
Action recommandée
Mettre à niveau @angular/router vers 22.2.1, 21.2.25 ou 20.3.33 selon la branche utilisée; les versions antérieures à 20 sont indiquées sans correctif.
Sources
Priorisation DFS : P3 · 1 source(s).