CVE-2026-27739

Resumo

O Angular SSR é uma ferramenta de renderização do lado do servidor para aplicações Angular. Versões anteriores a 21.2.0-rc.1, 21.1.5, 20.3.17 e 19.2.21 possuem uma vulnerabilidade de Server-Side Request Forgery (SSRF) no pipeline de tratamento de requisições do Angular SSR. A vulnerabilidade existe porque a lógica interna de reconstrução de URL do Angular confia e consome diretamente cabeçalhos HTTP controlados pelo usuário, especificamente o Host e a família `X-Forwarded-*`, para determinar a origem base da aplicação sem qualquer validação do domínio de destino. Especificamente, o framework não possuía verificações para o domínio do host, sanitização de caminho e caracteres, e validação de porta. Esta vulnerabilidade se manifesta de duas formas principais: resolução implícita de URL relativa e construção manual explícita. Quando explorada com sucesso, esta vulnerabilidade permite o direcionamento arbitrário de requisições internas. Isso pode levar à exfiltração de credenciais, sondagem de rede interna e violação de confidencialidade. Para ser vulnerável, a aplicação vítima deve usar Angular SSR (Server-Side Rendering), a aplicação deve realizar requisições `HttpClient` usando URLs relativas OU construir manualmente URLs usando os cabeçalhos `Host` / `X-Forwarded-*` não validados através do objeto `REQUEST`, o servidor da aplicação deve ser alcançável por um atacante que possa influenciar esses cabeçalhos sem validação estrita de um proxy de front-end, e a infraestrutura (Cloud, CDN ou Load Balancer) não deve sanitizar ou validar os cabeçalhos recebidos. As versões 21.2.0-rc.1, 21.1.5, 20.3.17 e 19.2.21 contêm um patch. Algumas soluções alternativas estão disponíveis. Evite usar `req.headers` para construção de URL. Em vez disso, use variáveis confiáveis para caminhos base de API. Aqueles que não puderem atualizar imediatamente devem implementar um middleware em seu `server.ts` para impor portas numéricas e hostnames validados.

• CVE-2026-27739-POCPoC