Se ha descubierto una vulnerabilidad crítica de Cross-Site Scripting (XSS) en el Compilador de Plantillas de Angular, que afecta a múltiples versiones de los paquetes @angular/compiler y @angular/core.

Registrada como CVE-2026-22610, esta vulnerabilidad permite a los atacantes eludir las protecciones de seguridad integradas de Angular y ejecutar código JavaScript arbitrario en los navegadores de las víctimas.

La Vulnerabilidad

El fallo existe en el esquema de sanitización interno de Angular, que no reconoce correctamente los atributos href y xlink:href de los elementos SVG <script> como URLs de recursos que requieren una validación estricta.

Este descuido permite a los atacantes inyectar cargas maliciosas a través de enlaces en plantillas, ejecutando así código no autorizado en las sesiones de los usuarios.

Cuando los desarrolladores utilizan la sintaxis de enlace de propiedades de Angular (como [attr.href]="userInput"), el compilador trata estos atributos de scripts SVG como cadenas estándar en lugar de enlaces de recursos peligrosos.

Esta clasificación errónea permite que datos maliciosos, incluyendo URIs data: text/javascript o enlaces a scripts externos maliciosos, eludan los controles de seguridad. La explotación exitosa de esta vulnerabilidad puede tener consecuencias graves.

Los atacantes podrían robar cookies de sesión, datos de localStorage o tokens de autenticación para secuestrar cuentas de usuario.

También podrían exfiltrar información sensible mostrada dentro de las aplicaciones o realizar acciones no autorizadas en nombre de usuarios autenticados.

La vulnerabilidad tiene una puntuación base CVSS v4 de 7.6 (gravedad alta). Requiere una baja complejidad de ataque y niveles de privilegio relativamente bajos para ser explotada.

Versiones Afectadas y Versiones Corregidas

La explotación requiere condiciones específicas: la aplicación objetivo debe usar elementos SVG <script> en plantillas con enlaces dinámicos de propiedades o atributos para href o xlink:href, y los datos enlazados deben provenir de fuentes no confiables.

Según el aviso de GitHub, los desarrolladores deben actualizar Angular a las versiones parcheadas de inmediato.

Hasta que se apliquen los parches, evita usar enlaces dinámicos con elementos de script SVG e implementa una validación estricta del lado del servidor para cualquier valor de URL dinámico antes de que llegue a las plantillas.