Angular critical CSS inlining Cross-site Scripting Vulnerability Advisory
Impact
Angular Universal applications on 16.1.0 and 16.1.1 using critical CSS inlining are vulnerable to a cross-site scripting (XSS) attack where an attacker can trick another user into visiting a page which injects malicious JavaScript.
Angular CLI applications without Universal do perform critical CSS inlining as well, however exploiting this requires a malicious actor to already have access to modify source code directly.
Patches
@nguniversal/common should be upgraded to 16.1.2 or higher. 16.2.0-rc.0 is safe.
Workarounds
The easiest solution is likely to upgrade Universal to 16.1.2 or downgrade to 16.0.x or lower. Alternatively you can override specifically the critters dependency with version 0.0.20 in your package.json.
{
"overrides": {
"critters": "0.0.20"
}
}References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @nguniversal/common | >= 16.1.0, < 16.1.2 | 16.1.2 |
Odnośniki
- Słabość (CWE)
CWE-79- Platforma
- npm
- Paczka
@nguniversal/common- Ujawniono
- 09.08.2023
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-r3hf-q8q7-fv2p - CC BY 4.0
Historia podatności: @nguniversal/common
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 08.2023 02.2026
- Bez poprawki
- 2
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 2
Ujawnienia w latach
- 2023: 1
- 2024: 0
- 2025: 1
- 2026: 1
-
Angular critical CSS inlining Cross-site Scripting Vulnerability Advisory ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.