Conoce las vulnerabilidades. Protege tus aplicaciones.

Media 20.10.2026

CVE-2026-111753

@angular/common: Fuga del token XSRF por discrepancia en el análisis de URL en el cliente HTTP de Angular (Corrección incompleta para CVE-2025-66035)

Una discrepancia en el procesamiento de URL en el cliente HTTP de Angular puede provocar la fuga de tokens XSRF hacia dominios externos. Los atacantes pueden aprovechar estos tokens para realizar acciones no autorizadas en la sesión de un usuario autenticado.

npm

@angular/common

Alta 20.10.2026

CVE-2026-111752

@angular/router: Denegación de servicio mediante coincidencia no válida de rutas de outlets con ruta vacía en Server-Side Rendering (SSR)

Una vulnerabilidad de denegación de servicio en Angular Router afecta al renderizado en el servidor (SSR) en Node.js. Atacantes remotos no autenticados pueden enviar URLs manipuladas con segmentos de salida vacíos para agotar la memoria o la CPU, provocando la caída del proceso y la interrupción del servicio.

npm

@angular/router

Media 20.10.2026

CVE-2026-111754

@angular/platform-server: Redirección abierta mediante URLs relativas al protocolo en Server-Side Rendering (SSR)

Una vulnerabilidad de redirección abierta en Angular SSR permite a atacantes remotos usar URLs con segmentos de punto para eludir validaciones y desviar usuarios a dominios externos.

npm

@angular/platform-server

Alta 08.10.2026

CVE-2026-107303

JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob

npm

generator-jhipster, react-jhipster

Media 05.10.2026

CVE-2026-104871

Angular SSR: Path Traversal to Sibling Directories in CommonEngine on Windows

npm

@angular/ssr

Crítica 02.10.2026

CVE-2026-10032

@a2ui/web_core: `openUrl` permits `javascript:` URI execution via agent-supplied button actions

npm

@a2ui/web_core

Alta 30.09.2026

CVE-2026-101896

Angular Server-Side Rendering (SSR): Denial of Service via Numeric URL Matrix Parameters

npm

@angular/router

Alta 28.09.2026

CVE-2026-101895

Angular SSR: Denial of Service (DoS) via Infinite Loop on Malformed DOCTYPE

npm

@angular/platform-server

Alta 28.09.2026

CVE-2026-88058

Angular SSR: XSS via Unescaped Processing Instruction (<?...?>) Nodes in Fallback Raw-Content Elements

npm

@angular/platform-server

Alta 10.09.2026

CVE-2026-88060

Angular: SSR XSS via Unescaped <template> Content Across DocumentFragment Boundaries in Fallback Raw-Content Elements

npm

@angular/platform-server

Alta 10.09.2026

CVE-2026-88056

Angular: SSRF and Cross-Origin Credential Disclosure via URL Resolution Discrepancy in SSR

npm

@angular/platform-server

Media 10.09.2026

CVE-2026-88059

Angular: Information Leak via `HttpTransferCache` Bypass When Using `withRequestsMadeViaParent`

npm

@angular/common

Media 10.09.2026

CVE-2026-88057

Angular: Sanitization bypass via directive host bindings on concrete host elements in @angular/core and @angular/compiler

npm

@angular/compiler, @angular/core

Alta 03.08.2026

CVE-2026-69151

Angular i18n: Cross-Site Scripting (XSS) via event-handler attributes

npm

@angular/compiler, @angular/core

Alta 03.08.2026

CVE-2026-69149

Angular SSR: Missing Fallback Raw-Content Serialization Escaping leads to Cross-Site Scripting (XSS)

npm

@angular/platform-server

Alta 03.08.2026

CVE-2026-68945

Angular: Cache-Key Ambiguity in HttpTransferCache Leading to Cross-Request Response Reuse and State Poisoning

npm

@angular/common

Alta 24.06.2026

CVE-2026-11998

Angular's deprecated package has a Cross-Site Scripting issue

npm

angular

Baja 15.06.2026

CVE-2026-65900

DOMPurify: SAFE_FOR_TEMPLATES bypass - template expressions survive sanitization inside <template> content when using DOM output modes

npm

dompurify

Media 15.06.2026

CVE-2026-49459

DOMPurify: IN_PLACE mode preserves attributes of a clobbered root element, allowing XSS via attacker-controlled root DOM

npm

dompurify

Alta 15.06.2026

CVE-2026-54264

@angular/service-worker: Sensitive Header Leakage on Cross-Origin Redirects in Angular Service Worker

npm

@angular/service-worker

Alta 15.06.2026

CVE-2026-54268

@angular/common: Denial of Service (DoS) via OOM in Date Formatting (formatDate)

npm

@angular/common

Alta 15.06.2026

CVE-2026-54266

@angular/common: Weak 32-Bit Cache Key Hashing in `HttpTransferCache` Leading to Cross-Request Data Leakage and State Poisoning

npm

@angular/common

Media 15.06.2026

CVE-2026-54265

@angular/compiler: Two-Way Property Binding Sanitization Bypass (XSS)

npm

@angular/compiler

Media 15.06.2026

CVE-2026-50557

Angular: Template and Attribute Namespace Sanitization Bypass (XSS)

npm

@angular/compiler, @angular/core