Angular platform-server: Denial of Service durch Endlosschleife beim DOCTYPE-Parsing

Zusammenfassung

Der DOM-Emulationsparser in @angular/platform-server, der auf der Bibliothek domino basiert, kann in eine endlose synchrone Schleife geraten, wenn er HTML mit einem unvollständigen DOCTYPE verarbeitet, der am Ende der Eingabe mit Leerzeichen endet. Ein entfernter, nicht authentifizierter Angreifer kann dies über serverseitige HTML-Parsing-Pfade wie innerHTML-Bindings auslösen, wodurch ein Node.js-SSR-Worker mit voller CPU-Auslastung läuft und parallele sowie nachfolgende Anfragen blockiert werden. Betroffen sind nur Angular-Anwendungen mit serverseitigem Rendering, die angreifergesteuertes HTML verarbeiten.

Betroffen

• Angular 19.2.25 und älter (keine Korrektur in der 19.x-Linie verfügbar)
• Angular 20.0.0 bis vor 20.3.31
• Angular 21.0.0 bis vor 21.2.23
• Angular 22.0.0 bis vor 22.1.6
• Betroffenes Paket: @angular/platform-server

Behoben in

• 20.3.31
• 21.2.23
• 22.1.6

Umgehung

• Untrusted Benutzereingaben nicht direkt an [innerHTML] in serverseitig gerenderten Templates binden; stattdessen Textinterpolation oder [textContent] verwenden, wenn kein Rendering von rohem HTML nötig ist.
• Unbekannt: keine weiteren vom Hersteller dokumentierten Workarounds.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: partiell.
• Nach bisherigem Kenntnisstand nicht im CISA-KEV-Katalog aufgeführt; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Alle Abhängigkeiten von @angular/platform-server in Lockfiles und ausgerollten Images identifizieren, einschliesslich transitiver Abhängigkeiten.
• Auf 20.3.31, 21.2.23 oder 22.1.6 (oder eine neuere Version dieser Linien) aktualisieren.
• Angular 19 und älter haben keine Korrektur: Migration planen oder erweiterten Support in Betracht ziehen.
• Bis zur Korrektur keine unvertrauenswürdigen HTML-Inhalte serverseitig an [innerHTML] binden.
• SSR-Prozesse auf hohe CPU-Auslastung und Nichtreagieren überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-f67j-2jqw-jpq7 github.com
• Angular release v20.3.31 github.com
• Angular release v21.2.23 github.com
• Angular release v22.1.6 github.com
• Angular commit 3db26e2 (domino update) github.com
• Domino commit 4d97473 (fix) github.com
• GitLab advisory for @angular/platform-server advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:05.