CVE-2026-54264
Publiée le 2026-06-22 · Dernière modification le 2026-07-09
Les applications web conçues avec des versions affectées du framework Angular sont vulnérables à la fuite d'identifiants sensibles. En incitant un utilisateur à visiter un lien malveillant qui déclenche une redirection cross-origin, un attaquant distant peut voler des jetons d'autorisation ou des cookies de session depuis le service worker du navigateur. Cette attaque ne nécessite aucun privilège particulier, mais repose sur l'interaction d'un utilisateur avec un lien malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. Prior to 22.0.1, 21.2.17, and 20.3.25, an information disclosure vulnerability exists in the @angular/service-worker package of the Angular framework. When the Service Worker fetches assets, it preserves metadata (such as headers) from the original request. However, on cross-origin redirects, the Service Worker fails to strip sensitive headers, violating the Fetch redirect algorithm. This allows a remote attacker to obtain sensitive credentials (e.g., Authorization tokens, Proxy-Authorization credentials, or session cookies) by triggering a cross-origin redirect to an untrusted external origin. This vulnerability is fixed in 22.0.1, 21.2.17, and 20.3.25.