CVE-2026-111751
Angular: Denial of Service via RouterLink Query Parameter Retention in Server-Side Rendering (SSR)
CVSS 3.1Medium
8.2/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Angular до версии 21.2.25 или 22.2.1.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В механизме серверного рендеринга Angular директива RouterLink сохраняет вычисленные объекты UrlTree на всё время запроса, что может привести к отказу в обслуживании (DoS).
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При активном режиме queryParamsHandling (merge или preserve) каждая отрендеренная ссылка удерживает копию параметров запроса в UrlTree. Пересылка клиентом длинных строк запроса через прокси без фильтрации приводит к исчерпанию памяти Node.js (old-space heap) и аварийному завершению SSR-воркера.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Исчерпание памяти Node.js и аварийное завершение рабочего процесса серверного рендеринга (DoS).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/angular/angular/security/advisories/GHSA-57xq-rjx2-v5xh
- github.comhttps://github.com/angular/angular/issues/70908
- github.comhttps://github.com/angular/angular/pull/70953
- github.comhttps://github.com/angular/angular/commit/14793bfe4b44a36ed4b7e49a60458ec711c2b41a
- github.comhttps://github.com/angular/angular/commit/a131f77d92808ad5c2f3fa4dc6fde36825f12c5a
- github.comhttps://github.com/angular/angular/releases/tag/v21.2.25
- github.comhttps://github.com/angular/angular/releases/tag/v22.2.1
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-111751: Angular: Denial of Service via RouterLink Query Parameter Retention in Server-Side Rendering (SSR). URL: https://cve.futuretools.ru/cve/CVE-2026-111751
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_111751,
title = {{CVE-2026-111751: Angular: Denial of Service via RouterLink Query Parameter Retention in Server-Side Rendering (SSR)}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-111751}},
note = {Оперативный инженерный анализ киберугроз}
}