Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-400
  • CWE-405

CVE-2026-111752

Angular Router SSR ortamında eşleşmeyen boş yollu çıkış rotaları nedeniyle hizmet reddi (DoS)

angular

Yüksek 8,2 CVSS 4.0
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kimlik doğrulaması gerektirmeden web uygulamanızın sunucu tarafında hizmet kesintisine yol açabilir. Veri sızıntısı riski tespit edilmemiş olsa da kesinti, site ve uygulamaların erişilemez hale gelmesi anlamına gelir. Etkilenen sistemlerin düzeltilmiş sürümlere hızla yükseltilmesi önerilir.

ÖzetTürkçe

Angular @angular/router, Node.js üzerinde çalışan sunucu taraflı oluşturma (SSR) ortamında yardımcı çıkış (outlet) URL segmentlerinin, bu çıkışların adlarına tanımlanmış rotalarla eşleşmesini zorunlu kılmıyor. Kötü hazırlanmış isteklerle yapılandırılmamış, boş yollu çıkış grupları tekrar tekrar gönderildiğinde rota yapılandırması defalarca değerlendiriliyor ve her seferinde yinelenen ActivatedRouteSnapshot ağaçları oluşturuluyor. Etkilenen sürümler, SSR kullanan ve Node.js üzerinde çalışan Angular uygulamalarıdır; istemci tarafı SPA'lar ve derleme zamanında ön oluşturma (prerendering) etkilenmez.

Saldırgan ne yapabilir?

Kimlik doğrulaması gerektirmeyen bir saldırgan, Node.js sunucu işçisinin (worker) bellek veya işlemci kaynaklarını tüketerek işlemin çökmesine ve hizmet kesintisine neden olabilir. Bellek tahsisi geçicidir, kalıcı bir bellek sızıntısı oluşturmaz.

Kaynaktaki açıklama (İngilizce)

Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 20.3.33, 21.2.25, and 22.2.1, @angular/router in Node.js server-side rendering fails to require auxiliary outlet URL segments to match routes configured for their outlet names. Crafted requests containing multiple unconfigured empty-path outlet groups can repeatedly evaluate the route configuration, construct duplicate ActivatedRouteSnapshot trees, execute canMatch guards and resolvers, and copy route parameters and queryParams for each outlet. An unauthenticated remote attacker can exhaust the Node.js heap or CPU and terminate an SSR worker when SSR is enabled, a route level contains an empty-path route or named outlet, upstream infrastructure forwards the request target, and the worker has a constrained heap. The allocation is transient rather than a persistent leak, and client-side SPAs and build-time prerendering are not affected. This issue is fixed in versions 20.3.33, 21.2.25, and 22.2.1.

Ne yapmalı?

  1. Angular router paketini kullandığınız sürüm dalına uygun düzeltilmiş sürüme yükseltin: 20.3.33, 21.2.25 veya 22.2.1. Genel öneri
  2. Yükseltme hemen yapılamıyorsa, SSR işçilerine bellek sınırı tanımlayın ve işçiler çöktüğünde otomatik yeniden başlatma mekanizması kurarak etkiyi azaltın. Genel öneri
  3. Yük dengeleyici veya ters vekil sunucu üzerinde, tek bir kaynaktan gelen aşırı istek sıklığını sınırlayan kurallar uygulayın. Genel öneri

Ek önlemler

  • SSR işçilerinin bellek ve işlemci kullanımını izleyin ve anormal artışlar için uyarı kuralları oluşturun. Genel öneri
  • Yönlendirme yapılandırmalarında boş yollu ve adlandırılmış çıkış rotalarını gözden geçirin, gereksiz olanları kaldırın. Genel öneri
  • Yükseltme sonrasında kullanılan Angular sürümünü doğrulayın ve tüm uygulamaları envanterde takip edin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
angular ≤ 19.2.25 –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.