Angular Platform-Server, Router und DevTools: Mehrere Schwachstellen ermöglichen Denial of Service
WID-SEC-2026-3972 · primera publicación 15.10.2026 · actualizado 15.10.2026 · CVSS 7,5
De qué se trata
Angular ist ein TypeScript-basiertes Front-End-Webapplikationsframework. Es ist eine Weiterentwicklung des JavaScript basierten AngularJS. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Angular ausnutzen, um einen Denial of Service Angriff durchzuführen.
¿En qué condiciones?
A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- einen Denial of Service Angriff durchzuführen
¿Me afecta?
Afectados según el BSI:
- Open Source Angular platform-server <22.1.6
- Open Source Angular platform-server <21.2.23
- Open Source Angular platform-server <20.3.31
- Open Source Angular router <22.2.0
- Open Source Angular router <21.2.24
- Open Source Angular router <20.3.32
- Open Source Angular DevTools <1.21.1
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Angular platform-server 22.1.6
- Open Source Angular platform-server 21.2.23
- Open Source Angular platform-server 20.3.31
- Open Source Angular router 22.2.0
- Open Source Angular router 21.2.24
- Open Source Angular router 20.3.32
- Open Source Angular DevTools 1.21.1
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- GitHub Security Advisory GHSA-F67J-2JQW-JPQ7 vom 2026-10-14 github.com
- GitHub Security Advisory GHSA-ff3f-86qr-9cv3 vom 2026-10-14 github.com
- GitHub Security Advisory GHSA-r653-wxfp-pp9c vom 2026-10-14 github.com
CVE: CVE-2026-101895, CVE-2026-101896, CVE-2026-101897
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.