製品・ソフトウェアに関する情報
Vulnerability Search
angularのAngular Language Serviceにおける複数の脆弱性
Title angularのAngular Language Serviceにおける複数の脆弱性
Summary

Angular Language ServiceのVS Code拡張機能は、Angularテンプレートに対して豊富な編集体験を提供します。クライアントサイドのAngular Language Service VS Code拡張機能は、ツールチップのMarkdownレンダラーをisTrusted: trueオプション（client/src/client.tsに位置）で設定しています。この設定により、VS Codeは受信するすべてのレンダリング済みコンテンツを信頼し、command: URIのようなアクティブな要素を有効にします。しかし、バックグラウンドのAngular Language Serverプロセスは、ホバーMarkdownコンテンツを転送する前にJSDoc文字列から角括弧、生のリンク、および制御文字をエスケープまたはサニタイズしません（server/src/handlers/hover.tsおよびserver/src/text_render.tsに位置します）。攻撃者は、この挙動を利用して、悪意のあるアクティブコマンドリンクを埋め込んだ悪意のあるJSDocツールチップを含むプロジェクトのTypeScriptまたはJavaScriptファイル（またはサードパーティのnpmパッケージ依存関係）を作成できます。開発者が対象のシンボルにカーソルを合わせてツールチップを表示し、悪意のあるリンクをクリックすると、IDEはコマンドシーケンスを開発者のホストマシン上で直接実行します。21.2.4以前のバージョンに存在したこの脆弱性は、21.2.4で修正されました。

Possible impacts ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 22, 2026, midnight
Registration Date June 29, 2026, 11:24 a.m.
Last Update June 29, 2026, 11:24 a.m.
CVSS3.0 : 重要
Score 8.8
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Affected System
angular
Angular Language Service 21.2.4 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年06月29日]
  掲載		 June 29, 2026, 11:24 a.m.
NVD Vulnerability Information
CVE-2026-50178
Summary

The Angular Language Service VS Code Extension provides a rich editing experience for Angular templates. the client-side Angular Language Service VS Code extension configures the tooltip Markdown renderer with the isTrusted: true option (located in client/src/client.ts). This setting instructs VS Code to trust all rendered content it receives, which enables active elements such as command: URIs. However, the background Angular Language Server process fails to escape or sanitize brackets, raw links, and control characters from JSDoc strings before forwarding the hover Markdown content (located in server/src/handlers/hover.ts and server/src/text_render.ts). An attacker can leverage this behavior by crafting a project TypeScript or JavaScript file (or a third-party npm package dependency) containing a malicious JSDoc tooltip with an embedded active command link. When a developer hovers over the target symbol to render the tooltip and clicks the malicious link, the IDE executes the command sequence directly on the developer's host machine. Prior to 21.2.4, This vulnerability is fixed in 21.2.4.

Publication Date June 23, 2026, 1:16 a.m.
Registration Date June 27, 2026, 4:10 a.m.
Last Update June 26, 2026, 11:57 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:angular:angular_language_service:*:*:*:*:*:visual_studio_code:*:* 21.2.4
Related information, measures and tools
Common Vulnerabilities List