Angular critical CSS inlining Cross-site Scripting Vulnerability Advisory
Impact
Angular Universal applications on 16.1.0 and 16.1.1 using critical CSS inlining are vulnerable to a cross-site scripting (XSS) attack where an attacker can trick another user into visiting a page which injects malicious JavaScript.
Angular CLI applications without Universal do perform critical CSS inlining as well, however exploiting this requires a malicious actor to already have access to modify source code directly.
Patches
@nguniversal/common should be upgraded to 16.1.2 or higher. 16.2.0-rc.0 is safe.
Workarounds
The easiest solution is likely to upgrade Universal to 16.1.2 or downgrade to 16.0.x or lower. Alternatively you can override specifically the critters dependency with version 0.0.20 in your package.json.
{
"overrides": {
"critters": "0.0.20"
}
}References
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @nguniversal/common | >= 16.1.0, < 16.1.2 | 16.1.2 |
Referencias
- Debilidad (CWE)
CWE-79- Plataforma
- npm
- Paquete
@nguniversal/common- Publicada
- 09.08.2023
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-r3hf-q8q7-fv2p - CC BY 4.0
Historial de vulnerabilidades: @nguniversal/common
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 08.2023 02.2026
- Sin corrección
- 2
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 2
Divulgaciones por año
- 2023: 1
- 2024: 0
- 2025: 1
- 2026: 1
-
Angular critical CSS inlining Cross-site Scripting Vulnerability Advisory esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.