Veille sécuritéFrontend
P4Moyenne
Une URL SSR spécialement construite peut contourner la vérification initiale des URL protocol-relative et provoquer une redirection HTTP vers un domaine externe. Le problème concerne les applications Angular utilisant SSR, et non les applications exclusivement côté client.
Angular
IdentifiantCVE-2026-111754
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif22.2.1; 21.2.25; 20.3.33
Analyse technique
Le contrôle de l’URL brute précédait sa normalisation WHATWG; certains segments de chemin normalisés pouvaient commencer par // et être renvoyés dans Location.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-20 à 14:35:49Z, soit 2026-10-20T16:35:49+02:00, à l’intérieur de la période demandée.
ImpactUne personne distante non authentifiée peut, sous les conditions SSR concernées, rediriger les visiteurs vers un domaine externe.
Versions affectées@angular/platform-server : >=22.0.0 =21.0.0 =20.0.0 <20.3.33; versions <=19.2.25 également indiquées comme affectées, sans correctif fourni.
Version corrigée22.2.1; 21.2.25; 20.3.33
ContournementFiltrer les chemins suspects au niveau du proxy/WAF et empêcher l’émission de valeurs protocol-relative dans les en-têtes Location jusqu’à la mise à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-20T16:35:49+02:00
Mise à jour2026-10-20T16:35:51+02:00
Action recommandée
Mettre à jour @angular/platform-server vers une version corrigée adaptée à la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).