CVE.futuretools
FAQ
NVD NIST
CVE-2026-101896

Angular: Denial of Service via Numeric URL Matrix Parameters in Server-Side Rendering (SSR)

CVSS 3.1High
8.2/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 20.3.32, 21.2.24, 22.2.0
Обновить Angular до версий 20.3.32, 21.2.24, 22.2.0 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

DoS в режиме SSR фреймворка Angular из-за чрезмерного расхода памяти V8 при разборе числовых matrix-параметров.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Парсер URL в @angular/router при Node.js Server-Side Rendering (SSR) записывает числовые имена matrix-параметров и outlet в пустые JS-объекты. Движок V8 трактует числовые свойства как индексы массивов и аллоцирует плотные непрерывные структуры в куче под большие индексы. Неаутентифицированный атакующий отправляет серию запросов с числовыми параметрами пути, вызывая исчерпание heap.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Отказ в обслуживании (DoS) узла Node.js в результате переполнения кучи (OOM) и аварийного завершения процесса рендеринга.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

angularangular
все ранние➔Патч не выпущен
angularangular
>= 20.0.0➔Fix: 20.3.32
angularangular
>= 21.0.0➔Fix: 21.2.24
angularangular
>= 22.0.0➔Fix: 22.2.0
@angularrouter
все ранние➔Патч не выпущен
@angularrouter
>= 20.0.0➔Fix: 20.3.32
@angularrouter
>= 21.0.0➔Fix: 21.2.24
@angularrouter
>= 22.0.0➔Fix: 22.2.0
——
>= 22.0.0➔Fix: 22.2.0
——
>= 21.0.0➔Fix: 21.2.24
——
>= 20.0.0➔Fix: 20.3.32
——
>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-101896: Angular: Denial of Service via Numeric URL Matrix Parameters in Server-Side Rendering (SSR). URL: https://cve.futuretools.ru/cve/CVE-2026-101896
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_101896,
  title = {{CVE-2026-101896: Angular: Denial of Service via Numeric URL Matrix Parameters in Server-Side Rendering (SSR)}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-101896}},
  note = {Оперативный инженерный анализ киберугроз}
}