@angular/common: Fuga del token XSRF por discrepancia en el análisis de URL en el cliente HTTP de Angular (Corrección incompleta para CVE-2025-66035)

Una corrección incompleta para GHSA-58c5-g7wp-6w37 (CVE-2025-66035) en el cliente HTTP de @angular/common (HttpClient) permite que los tokens de Cross-Site Request Forgery (XSRF) se filtren a dominios de origen cruzado controlados por un atacante cuando las solicitudes utilizan URL que aprovechan discrepancias de procesamiento entre expresiones regulares y el analizador de URL WHATWG del navegador.

Descripción técnica

Para solucionar CVE-2025-66035, xsrfInterceptorFn introdujo una expresión regular (const ABSOLUTE_URL_REGEX = /^(?:https?:)?\/\//i) para detectar y omitir URL absolutas y relativas al protocolo antes de adjuntar el encabezado X-XSRF-TOKEN.

Sin embargo, los navegadores resuelven las URL de solicitud pasadas a fetch() y XMLHttpRequest.open() mediante el analizador de URL WHATWG. Para los esquemas http: y https:, el estándar WHATWG URL realiza varias normalizaciones antes de resolver la autoridad/origen:

• Las barras invertidas (\) se tratan como barras inclinadas hacia adelante (/) — p. ej., /\evil.example/x, \\evil.example/x, \/evil.example/x, https:\\evil.example/x, https:/\evil.example/x.
• Los caracteres de control C0 y espacios iniciales y finales (<= 0x20) se eliminan — p. ej., ' //evil.example/x', '\0//evil.example/x', '\x1f//evil.example/x'.
• Los caracteres de tabulación ASCII (\t), salto de línea (\n) y retorno de carro (\r) se eliminan en cualquier parte de la entrada — p. ej., '/\t/evil.example/x', '/\n/evil.example/x', 'htt\tps://evil.example/x'.

Dado que estas URL no coinciden con /^(?:https?:)?\/\//i, xsrfInterceptorFn las trata como URL relativas del mismo origen y adjunta el encabezado X-XSRF-TOKEN, mientras que el navegador resuelve y envía la solicitud al host de origen cruzado (evil.example).

Nota: Angular 21.0.3+ y 22.x reemplazaron la expresión regular con una comparación de origen WHATWG new URL(req.url, locationOrigin) en #65683 y ya no estaban afectadas. Sin embargo, la rama LTS 20.3.x conservó la expresión regular hasta 20.3.34.

Impacto

La fuga del token elude la protección XSRF integrada de Angular en las versiones afectadas, lo que permite a un atacante capturar el encabezado X-XSRF-TOKEN válido del usuario si su servidor permite la solicitud y el encabezado personalizado a través de CORS. Una vez obtenido, el atacante puede realizar ataques de Cross-Site Request Forgery (CSRF) contra la sesión de la víctima.

Condiciones previas del ataque

1. La aplicación Angular de la víctima debe tener la protección XSRF habilitada (habilitada por defecto en HttpClient).
2. El atacante debe ser capaz de hacer que la aplicación envíe una solicitud HTTP que cambie el estado (p. ej., POST, PUT, DELETE, PATCH) a una URL que controle (como /\attacker.example/api o //attacker.example/api).

Parches

El problema se soluciona analizando y comparando el origen de la URL de la solicitud con el origen actual de la aplicación utilizando el constructor estándar URL (new URL(req.url, locationOrigin)).

• 21.0.3 (y todas las versiones de 22.x)
• 20.3.34

Mitigaciones alternativas

Si no es posible actualizar inmediatamente a una versión corregida:

• Valide y normalice las URL de solicitudes salientes utilizando new URL(url, window.location.origin) y verifique que parsedUrl.origin === window.location.origin antes de pasar URL dinámicas a solicitudes mutables de HttpClient.
• Evite pasar URL no confiables o controladas por el usuario a métodos mutables de HttpClient.